Loader

Как взять под контроль теневые ИТ-процессы и снизить риски кибербезопасности

В наши дни ИТ-отделам необходимо отслеживать все большее количество устройств и учетных записей. Ведь потеря контроля над услугами, которыми пользуются сотрудники – может привести к появлению теневых ИТ-процессов и, как следствие, к серьезным ошибкам в обеспечении безопасности и лишним расходам.

Данная статья содержит обзор теневых процессов ИТ, а также стратегий предотвращения проблем, связанных с ними, и способов снижения рисков безопасности.

Что такое теневая ИТ-среда? Простое определение
Теневая ИТ-среда — это неизвестные, неуправляемые системы, которыми пользуются сотрудники и которые не попадают в поле зрения ИТ-отделов и служб безопасности.

Теневые ИТ-системы могут принимать самые разные формы — облачные аккаунты, приложения для обмена сообщениями, ноутбуки и т.п.

Организации, работающие с теневыми ИТ-системами, оставляют открытой дверь для кибератак и повышают риски кражи данных. Это может привести к финансовым потерям, ухудшению репутации, другим нежелательным последствиям.

Теневые ИТ-системы становятся все более острой проблемой для организаций всех размеров.
По данным Everest Group, теневые ИТ-расходы составляют 50% от общих ИТ-расходов на крупных предприятиях.

Каковы основные причины появления рисков связанных с теневыми ИТ-ресурсами?
Теневые риски ИТ-безопасности могут быть вызваны множеством различных причин. Имея это в виду, давайте взглянем на некоторые примеры теневых ИТ-систем, с которыми часто сталкиваются компании.

1. Работа в удаленном и гибридном формате
Сегодня бизнес-пользователям требуются специальные инструменты и сервисы, чтобы оставаться продуктивными в удаленных и гибридных средах.
Для повышения производительности они часто используют различные решения для обмена текстовыми сообщениями, совместной работы, совместного использования экрана, обмена данными и т.д.

Более того, сотрудники часто имеют административный доступ к локальным рабочим станциям и приложениям. Если киберзлоумышленник получит доступ к устройству с правами локального администратора, он сможет использовать этот доступ для кражи паролей, установки вредоносного ПО и утечки данных. Они могут даже повысить свои привилегии, чтобы получить доступ к более широкой ИТ-среде.

2. Подключенные устройства
У работников также могут быть подключенные домашние устройства, которые сопрягаются с их рабочими устройствами — умные колонки, мониторы и домашние принтеры.

Все они обычно требуют программного обеспечения для управления, настройки и использования. Они также обычно имеют ограниченное количество обновлений программного обеспечения. Это часто приводит к появлению устаревшего и непропатченного программного обеспечения, что делает удаленных сотрудников незащищенными и уязвимыми для новых атак.

3. Неуправляемые браузеры
Большинство рабочих процессов сейчас происходит через интернет-браузеры, и у большинства пользователей сегодня на компьютере запущено как минимум два или более браузеров. К сожалению, большинство организаций не управляют браузерами, что создает серьезную «слепую зону» безопасности.

Браузеры часто предлагают пользователям сохранить конфиденциальные учетные данные, пароли и информацию о кредитных картах. Злоумышленники могут воспользоваться этой важной информацией и получить доступ к частным системам и базам данных или совершить мошеннические платежи от имени компании.

4. Приложения для повышения производительности
Пользователи часто обращаются к сторонним приложениям для выполнения задач, не запрашивая разрешения ИТ-отдела. Эти приложения могут быть из Google Play или App Store, или работать через браузер. Приложения, загруженные и установленные без проверки ИТ-отдела, могут содержать уязвимости системы безопасности. Они могут не иметь средств контроля безопасности или обновляться не так часто, как положено, что со временем увеличивает теневой ИТ-риск (риск взлома).

Когда сотрудники используют теневые ИТ-приложения, конфиденциальные данные могут храниться во всевозможных хранилищах, что может подвергнуть риску всю вашу организацию или, по крайней мере, скрыть бизнес-аналитику от остальных сотрудников.

В то же время программное обеспечение может иметь конфликтующие модели безопасности, которые не соответствуют корпоративным политикам контроля доступа или использования данных. Например, сотрудник в сфере здравоохранения может загрузить приложение, не соответствующее требованиям HIPAA. Это может подвергнуть риску конфиденциальные данные пациентов и привести к потенциальным штрафам и санкциям для организации.

5. Быстрые производственные циклы
Разработчики и команды DevOps находятся под растущим давлением необходимости работать быстро и эффективно. Однако они часто жертвуют безопасностью ради скорости, что увеличивает риск теневой ИТ-безопасности.
Например, разработчики могут запустить в облаке свои экземпляры и так же быстро исчезнуть. Когда это происходит, данные могут продолжать жить в облачной среде без ведома ИТ-отдела или службы безопасности.

Теневые ИТ-политики помогают получить злонамеренный доступ
Проще говоря, если вы не предоставите пользователям доступ к безопасным инструментам и беспрепятственным рабочим процессам, они могут взять дело в свои руки и самостоятельно искать решения. По этой причине ИТ-отделы и службы безопасности должны действовать осторожно и балансировать между требованиями безопасности, конфиденциальности и потребностями производительности.

Для бизнес-пользователей
Для бизнес-пользователей используйте менеджеры паролей корпоративного уровня, такие как Secret Server, что более безопасно, чем менеджеры паролей потребительского класса или хранение паролей в браузере.
— Используйте Browser Password Discovery Tool для обнаружения паролей, хранящихся в браузере, среди пользователей Active Directory.
— Усильте контроль с помощью решений для контроля приложений на основе политик, таких как Privilege Manager. Таким образом, вы сможете автоматически проверять приложения, которые пользователи хотят загрузить, на соответствие спискам доверенных приложений и последним данным об угрозах в подозрительных приложениях. Вы можете поместить в «песочницу» любое неизвестное, ненадежное приложение для дальнейшей проверки перед тем, как предоставить пользователям доступ.

— Используйте средство обнаружения с наименьшими привилегиями, чтобы обнаружить, какие приложения, уже находящиеся в вашей сети, являются вредоносными или небезопасными.

Для разработчиков и команд DevOps
— Подключите инструменты управления доступом к привилегиям к процессу DevOps. Предоставьте разработчикам привилегии для доступа к облаку и инструментальным цепочкам CI/CD с той скоростью, которая им необходима, и в то же время обеспечьте надежность, необходимую для более жесткого контроля над средой.

Для обеих групп важно не допустить трения в рабочих процессах. В этом случае инструменты безопасности целесообразно держать в фоновом режиме с невидимым управлением привилегированным доступом. Благодаря такому подходу бизнес-пользователи, разработчики и даже системные администраторы могут выполнять свою работу, не беспокоясь о запоминании паролей, не говоря уже об их обновлении. На самом деле, им даже не нужно видеть пароли, поскольку все управление происходит автоматически.

Что такое «технический долг» и как он связан с теневыми ИТ?
Теневые ИТ-процессы связанны не только с бизнес-пользователями и разработчиками, которые работают вне рамок ИТ-безопасности. ИТ-команды могут быть источником проблем с теневыми ИТ-процессами, когда они не работают согласованно.

Отсутствие координации способствует возникновению «технического долга», который накапливается, когда команды берут новые инструменты в качестве простого решения, вместо того чтобы потратить время, усилия и капитал на долгосрочную перспективу.

Например, ИТ-отдел может пропустить обычную процедуру проверки безопасной работы удаленных работников.

Многие ИТ-отделы принимают краткосрочные решения по ИТ-задачам, развертывая одноцелевые инструменты, чтобы помочь сотрудникам повысить производительность и работоспособность компании.

Они часто приобретают несколько разрозненных продуктов или принимают быстрые краткосрочные решения, которые увеличивают «технический долг» компании.

Каковы затраты и риски «технического долга»?
Технический долг может быть очень затратным для организации, что делает его большой проблемой для компаний с жестким бюджетом и ограниченными ресурсами.

Некоторые из первоначальных краткосрочных расходов, связанных с «техническим долгом», включают большие затраты на обновление, обслуживание, обучение и модернизацию.

В то же время инструменты, как правило, разрозненны и сильно зависят от пользователей. Они также поставляются с ограниченными возможностями интеграции.

Зависящими от пользователя системами также может быть очень трудно управлять в масштабе, и о них легко забыть. Например, кто-то может установить систему, а затем уйти на другую работу. Когда это происходит, легко потерять представление о том, для чего нужна система и откуда она взялась.

Как ИТ-отдел может сократить «технический долг» для снижения теневых ИТ-рисков?
Чтобы эффективно сократить «технический долг», важно мыслить стратегически и принимать решения, которые соответствуют долгосрочным целям компании.
Также важно обеспечить кибербезопасность на перспективу и отказаться от точечных решений в пользу многофункциональных технологий, которые могут развиваться вместе с бизнесом и со временем повышать его ценность.

В конце концов, интеграция и автоматизация могут сыграть важную роль в сокращении «технического долга» и теневых ИТ при одновременном повышении безопасности. Для получения дополнительной информации о том, что вы можете сделать для защиты своей ИТ-среды и обеспечения безопасности конфиденциальных данных, ознакомьтесь с контрольным списком рекомендаций по облачной безопасности.

По вопросам проведения индивидуальной демонстрации, пилотного тестирования решений Delinea и организации партнерских тренингов обращайтесь, пожалуйста, к нашей команде в Вашей стране:

Украина, Грузия, Арменияfast@oberig-it.com, +38 099 427 94 04.
Казахстанinfo.kz@oberig-it.com, +7 775 395 0803.
Узбекистан, Кыргызстан, Таджикистан, Туркменистанinfo.uz@oberig-it.com, +99897 746 83 40.
Молдова, Румынияinfo.md@oberig-it.com, +373 686 76535.
Азербайджанinfo.az@oberig-it.com, +994 50 6826105.

Источник: https://bit.ly/3xjNHFM