چگونه می توان آن را سایه و بدهی فنی برای کاهش خطر سایبری مهار کرد

این روزها ، بخش های فناوری اطلاعات باید تعداد بیشتری از دستگاه ها و حساب ها را ردیابی کنند. پس از از دست دادن خدماتی که کارکنان از آن استفاده می کنند ، با سایه IT و بدهی فنی به پایان می رسید - دو مورد که می تواند منجر به اشتباهات جدی امنیتی و هزینه های اضافی شود.

خواندن را برای مروری بر Shadow IT و بدهی فنی و استراتژی های جلوگیری از این مسائل و کاهش خطر امنیتی ادامه دهید.

سایه آن چیست؟یک تعریف ساده

سایه به سیستم های ناشناخته و بدون کنترل اشاره دارد که کارمندان از آن استفاده می کنند و از رادار تیم های امنیتی و امنیتی خارج هستند. سایه می تواند انواع مختلفی از اشکال مختلف - مانند حساب های ابری ، برنامه های پیام رسانی و لپ تاپ ها را از جمله موارد دیگر ایجاد کند.

سازمانهایی که با Shadow It روبرو هستند ، درب را برای حملات سایبری باز می کند و خطر قرار گرفتن در معرض داده ها را افزایش می دهد. این افزایش قرار گرفتن در معرض می تواند منجر به مجازات های مالی و آسیب های شهرت شود ، از جمله سایر نتایج نامطلوب.

سایه این یک مشکل رو به رشد در بین مشاغل در هر اندازه ، به ویژه در سطح شرکت است. به گفته گروه اورست ، سایه ای که خرج می کند شامل 50 ٪ یا بیشتر از کل آن است که در شرکت های بزرگ هزینه می کند.

دلایل اصلی سایه آن چیست؟

Shadow IT خطرات امنیتی می تواند ناشی از دلایل مختلف باشد. با توجه به این نکته ، بیایید نگاهی به برخی از سایه های IT بیندازیم که مشاغل اغلب با آنها روبرو می شوند.

1. کارگران از راه دور و ترکیبی

امروزه ، کاربران تجاری به ابزارها و خدمات ویژه ای نیاز دارند تا در محیط های از راه دور و ترکیبی تولید شوند. برای افزایش بازده آنها ، آنها اغلب از راه حل های متنوعی برای پیام رسانی متنی ، همکاری ، اشتراک گذاری صفحه ، به اشتراک گذاری داده ها و موارد دیگر استفاده می کنند.

علاوه بر این ، کارمندان غالباً دسترسی اداری به ایستگاه های کاری و برنامه های محلی دارند. در صورت دسترسی به سایبری به وسیله ای با حقوق اداری محلی ، می تواند از دسترسی به سرقت گذرواژه ها ، نصب بدافزار و داده های اگزیلترات استفاده کند. آنها حتی ممکن است بتوانند امتیازات خود را بالا ببرند تا به محیط گسترده تر فناوری اطلاعات دسترسی پیدا کنند.

2. دستگاه های متصل

کارگران همچنین ممکن است دستگاه های خانگی را به هم وصل کنند که با دستگاه های کاری خود جفت می شوند-مانند بلندگوهای هوشمند ، مانیتورها و چاپگرهای خانگی.

همه اینها معمولاً برای مدیریت ، پیکربندی و استفاده به نرم افزار نیاز دارند. آنها همچنین به طور معمول به روزرسانی های نرم افزاری محدود دارند. این اغلب منجر به نرم افزار منسوخ و غیرقابل استفاده می شود و کارمندان از راه دور را در معرض حملات بیشتر قرار می دهند و آسیب پذیر می شوند.

3. مرورگرهای کنترل نشده

اکنون اکثر گردش کار از طریق مرورگرهای اینترنتی اتفاق می افتد و امروزه بیشتر کاربران حداقل دو یا چند دستگاه در دستگاه های خود دارند. متأسفانه ، بیشتر سازمان ها مرورگرها را مدیریت نمی کنند ، که یک نقطه کور امنیتی بزرگ ایجاد می کند.

مرورگرها اغلب کاربران را وادار می کنند تا اعتبار ، رمزهای عبور و اطلاعات کارت اعتباری را ذخیره کنند. بازیگران بد می توانند این اطلاعات مهم را هدف قرار دهند و به طور بالقوه ورود به سیستم های خصوصی و بانکهای اطلاعاتی را بدست آورند یا از طرف شرکت شما پرداخت های کلاهبرداری انجام دهند.

4. برنامه های بهره وری

کاربران غالباً بدون درخواست تأیید از آن ، به برنامه های بهره وری شخص ثالث مراجعه می کنند. این برنامه ها ممکن است از Google Play یا App Store سرچشمه بگیرند یا ممکن است مبتنی بر مرورگر باشند. برنامه های بارگیری و نصب شده بدون بررسی IT ممکن است حاوی آسیب پذیری های امنیتی باشد. آنها ممکن است کنترل های امنیتی نداشته باشند و یا هر چند وقت یکبار به روز شوند ، و باعث افزایش سایه آن در طول زمان می شوند.

هنگامی که کارمندان از برنامه های IT Shadow استفاده می کنند ، داده های حساس می توانند در انواع مخازن ذخیره شوند ، که ممکن است کل سازمان شما را در معرض خطر قرار دهد - یا حداقل ، هوش تجاری مبهم از بقیه تیم.

در عین حال ، نرم افزار می تواند مدل های امنیتی متناقضی داشته باشد که با سیاست های شرکت شما برای کنترل دسترسی یا استفاده از داده ها مطابقت ندارند. برای نشان دادن ، یک کارمند در یک محیط مراقبت های بهداشتی ممکن است برنامه ای را که سازگار با HIPAA نیست بارگیری کند. این می تواند داده های حساس بیمار را در معرض خطر قرار دهد و منجر به جریمه و مجازات های احتمالی سازمان شود.

5. چرخه تولید سریع

توسعه دهندگان و تیم های DevOps تحت فشار رو به افزایش هستند تا به سرعت و کارآمد حرکت کنند. با این حال ، آنها غالباً امنیت را برای سرعت فدا می کنند ، که باعث افزایش خطر امنیت IT می شود.

به عنوان مثال ، توسعه دهندگان ممکن است نمونه هایی را در ابر بچرخانند و به همان سرعت ناپدید شوند. وقتی این اتفاق بیفتد ، داده ها می توانند بدون آن در یک محیط ابری زندگی کنند یا تیم های امنیتی تا کنون از آن آگاهی داشته باشند.

سیاست های IT سایه به شما کمک می کند تا کنترل کنید

به عبارت ساده تر ، اگر به کاربران امکان دسترسی به ابزارهای ایمن و گردش کار یکپارچه را نمی دهید ، آنها مسئولیت پذیر هستند که به تنهایی امور را به دست خود و راه حل های منبع خود ببرند. به همین دلیل ، تیم های فناوری اطلاعات و امنیت باید با نیازهای بهره وری ، با دقت و تعادل امنیت و حریم خصوصی را تعادل برقرار کنند. در اینجا آمده است که چگونه می توانید خطر امنیتی IT سایه را کاهش دهید.

برای کاربران تجاری

• از مدیران گذرواژه در مقیاس سازمانی مانند Secret Server برای کاربران تجاری استفاده کنید که از مدیران رمز عبور درجه مصرف کننده یا ذخیره رمزهای عبور با مرورگر شما ایمن تر است.

   

برای توسعه دهندگان و تیم های DevOps

• ابزارهای مدیریت دسترسی به امتیاز را به فرآیند DevOps متصل کنید. به توسعه دهندگان این امتیاز را بدهید تا به زنجیره ابزارهای ابری و CI/CD با سرعتی که نیاز دارند دسترسی داشته باشند و در عین حال به شما قابلیتی را می دهد که برای حفظ کنترل شدیدتر بر محیط خود نیاز دارید.

برای هر دو گروه، مهم است که از وارد کردن اصطکاک در جریان کار خودداری کنید. در این صورت، ایده خوبی است که ابزارهای امنیتی را با مدیریت دسترسی ممتاز نامرئی در پس زمینه نگه دارید. با این رویکرد، کاربران تجاری، توسعه دهندگان و حتی مدیران سیستم ها می توانند بدون نگرانی در مورد به خاطر سپردن گذرواژه ها، کار خود را از کار بیاندازند، چه رسد به اینکه آنها را تازه نگه دارند. در واقع، آنها هرگز حتی نیازی به دیدن رمزهای عبور ندارند زیرا تمام مدیریت ها به صورت خودکار انجام می شود.

بدهی فنی چیست و چه ارتباطی با IT سایه دارد؟

Shadow IT فقط مربوط به کاربران تجاری و توسعه دهندگانی نیست که خارج از محدوده امنیت فناوری اطلاعات کار می کنند. در واقع، تیم های فناوری اطلاعات زمانی که به طور هماهنگ کار نمی کنند، می توانند مقصر IT سایه باشند.

این عدم هماهنگی به بدهی فنی کمک می کند، که وقتی تیم ها به جای صرف زمان، تلاش و سرمایه برای اتخاذ یک رویکرد بلندمدت، ابزارهای جدید را به عنوان یک راه حل آسان به کار می گیرند، انباشته می شود. به عنوان مثال، فناوری اطلاعات ممکن است در طی چند سال گذشته از بررسی معمول در عجله برای حمایت از کارگران راه دور صرف نظر کرده باشد.

بسیاری از بخش های فناوری اطلاعات با استفاده از ابزارهای تک منظوره برای کمک به بهره وری کارکنان و عملکرد شرکت، تصمیم های کوتاه مدتی در مورد راه حل های فناوری اطلاعات می گیرند. آنها اغلب محصولات متعددی را خریداری می کنند یا تصمیمات کوتاه مدت و سریعی می گیرند که بدهی فنی شرکت را افزایش می دهد.

هزینه ها و خطرات بدهی فنی چیست؟

بدهی فنی می تواند برای یک سازمان بسیار زیان آور باشد و آن را برای شرکت هایی با بودجه محدود و منابع محدود به یک مشکل بزرگ تبدیل کند.

برخی از هزینه های کوتاه مدت اولیه که با بدهی های فنی همراه است، شامل هزینه های سنگین تجدید، نگهداری، آموزش و ارتقا است. در عین حال، ابزارها متمایز هستند و به شدت به کاربران وابسته هستند. آنها همچنین با ادغام های محدود عرضه می شوند.

سیستم های وابسته به کاربر همچنین می توانند در مقیاس بسیار دشوار باشند و فراموش کردن آن آسان است. به عنوان مثال ، ممکن است شخصی یک سیستم را تنظیم کند و سپس فرصت دیگری را ترک کند. هنگامی که این اتفاق می افتد ، از دست دادن ردیابی سیستم برای سیستم و از کجا به دست می آید.

چگونه می تواند بدهی فنی را کاهش دهد تا سایه خطر آن را کاهش دهد؟

برای کاهش موثر بدهی فنی ، مهم است که از نظر استراتژیک فکر کنید و تصمیماتی بگیرید که با تمرکز بلند مدت شرکت شما مطابقت داشته باشد. همچنین برای امنیت سایبری ضد آینده و دور شدن از راه حل های نقطه به نفع فن آوری های غنی از ویژگی که می توانند با تجارت رشد کنند و به مرور زمان ارزش افزوده کنند ، مهم است.

در پایان روز ، ادغام و اتوماسیون هم می تواند نقش مهمی در کاهش بدهی فنی داشته باشد و ضمن تقویت امنیت ، آن را سایه می زند. برای کسب اطلاعات بیشتر در مورد کارهایی که می توانید برای تأمین امنیت محیط فناوری اطلاعات خود انجام دهید و داده های حساس را ایمن نگه دارید ، به لیست چک بهترین روشهای امنیتی Cloud Security ما نگاهی بیندازید.< Pan> سیستم های وابسته به کاربر همچنین می توانند در مقیاس بسیار دشوار باشند و فراموش کردن آن آسان است. به عنوان مثال ، ممکن است شخصی یک سیستم را تنظیم کند و سپس فرصت دیگری را ترک کند. هنگامی که این اتفاق می افتد ، از دست دادن ردیابی سیستم برای سیستم و از کجا به دست می آید.