Когда даже у Samsung возникают проблемы
Весной 2023 года технологический гигант Samsung оказался в центре скандала, связанного с утечкой данных. Предположительно, один из инженеров компании загрузил свой код в нейросеть, чтобы получить совет по его улучшению. Насколько серьезными оказались последствия утечки, до сих пор неизвестно, но этот инцидент вновь обострил дискуссию вокруг так называемых теневых ИТ.
К теневым ИТ относят программное обеспечение, оборудование и сервисы, которые используются в компании без контроля со стороны ИТ-отдела. Масштабы этой "серой зоны" внушительны: количество применяемых ИТ-инструментов в 14,6 раза превышает число тех, что официально одобрены корпоративными администраторами. Около 67% сотрудников привносят в работу сторонние цифровые решения, а среди ИТ-специалистов и топ-менеджеров этот показатель превышает 90%. В результате почти половина (49%) кибератак связана именно с теневыми ИТ.
Как с этим бороться?
Полный запрет или, наоборот, полная свобода вряд ли станут эффективными решениями. Оптимальный путь — минимизировать размах теневых ИТ, что не только повысит уровень безопасности, но и положительно скажется на работе компании в целом.
Почему появляются теневые ИТ?
- Недостаток необходимых инструментов
Даже крупнейшие корпорации не могут обеспечить сотрудников всеми возможными ресурсами. Если существующий ИТ-стек не соответствует бизнес-процессам и требованиям рынка, люди начинают искать обходные пути.Решение: Оценивать потребности сотрудников, оперативно предоставлять доступ к нужному ПО, обучать персонал работе с корпоративными инструментами. - Высокие требования ключевых сотрудников
Топ-специалисты ценят скорость работы и принятия решений, но стандартные корпоративные решения могут их замедлять.Решение: Взаимодействовать с такими сотрудниками, учитывать их потребности и адаптировать ИТ-инфраструктуру под их задачи. - Недостаточная осведомленность
Часто сотрудники просто не знают, что уже существует одобренный инструмент, который решает их задачу.Решение: Распространять информацию о возможностях ИТ-отдела, подчеркивать важность использования утвержденных инструментов для безопасности и соответствия нормам. - Сложные бюрократические процессы
Длительное согласование ПО раздражает сотрудников и побуждает их искать быстрые альтернативы, даже если это угрожает безопасности.Решение: Упростить и ускорить процесс внедрения новых инструментов, регулярно тестировать и оптимизировать процедуры согласования. - Отсутствие осознания рисков
Многие пользователи не понимают, к каким последствиям может привести использование несанкционированного ПО.Решение: Проводить тренинги, объяснять на реальных кейсах, какие угрозы несут теневые ИТ и как они могут привести к утечке данных или финансовым потерям.
Технические меры контроля
Полное блокирование установки несанкционированного ПО — неоднозначное решение. Жесткие запреты могут лишь спровоцировать сотрудников искать более сложные способы обхода ограничений.
Более эффективные подходы:
- Мониторинг сетевой активности для выявления аномалий и возможных угроз.
- Контроль портов и оборудования для предотвращения использования несанкционированных устройств.
- Использование DLP-систем для обнаружения и предотвращения утечек данных.
Теневые ИТ как источник возможностей
Работа с теневыми ИТ — это не только борьба с угрозами, но и возможность улучшить бизнес-процессы.
- Оптимизация рабочих процессов
Если сотрудники активно используют сторонние инструменты и показывают отличные результаты, возможно, стоит рассмотреть их интеграцию в корпоративную среду. - Снижение затрат
Нередко сотрудники находят недорогие или бесплатные решения, которые можно адаптировать для всей компании, тем самым снижая расходы на ПО. - Укрепление доверия к ИТ-отделу
Если ИТ-специалисты будут не просто запрещать, а помогать сотрудникам находить безопасные и эффективные решения, это повысит уровень доверия и взаимодействия между подразделениями.
Вывод
Вместо тотального запрета теневых ИТ стоит рассматривать их как индикатор проблем и возможностей. Грамотный подход к анализу и контролю позволит не только защитить данные компании, но и повысить эффективность работы сотрудников, сократить расходы и улучшить внутренние процессы.