Che la colpa sia del cloud, della pandemia, del collasso dell’IT centralizzato, della rivoluzione dell’intelligenza artificiale o di tutti questi fattori insieme, lo “shadow IT” sta sfuggendo al controllo in molte organizzazioni.
Lo “Shadow IT” – ovvero l’utilizzo da parte dei dipendenti di sistemi informatici, dispositivi, software e servizi senza l’approvazione esplicita o la supervisione del reparto IT – può assumere molte forme: si tratta, ad esempio, di un dipendente che si registra per la prova gratuita di un nuovo strumento. Si tratta di un dirigente dotato di poteri amministrativi che approva una richiesta per la propria unità e la attua senza la supervisione o l’autorizzazione del reparto IT. Si tratta di una nuova assunta con un orario di lavoro ibrido che utilizza una chiavetta USB per trasferire documenti dal proprio ufficio a casa a quello dell’azienda e viceversa.
E, secondo Gartner, si tratta di un problema in rapida crescita. La società di ricerche nel settore tecnologico prevede che il 75 % dei dipendenti avrà acquisito, modificato o creato tecnologia al di fuori del campo di visione del reparto IT entro i prossimi tre anni, in aumento rispetto al 41 % registrato nel 2023.
«A questo punto, nella maggior parte delle organizzazioni si è verificata una democratizzazione della tecnologia e delle attività analitiche», spiega Leigh McMullen, illustre vicepresidente e analista di Gartner, in un intervento tenuto in occasione del summit sulla gestione del rischio organizzato dalla società lo scorso anno. «Al di fuori delle funzioni IT centrali e di quelle divisionali si sta verificando un’attività maggiore rispetto a quanto avvenga al loro interno.» «L’IT ombra è ormai una pratica consolidata.»
Il massiccio passaggio al lavoro da remoto è uno dei principali fattori responsabili. «L’IT ombra è sempre esistito, ma da quando è scoppiata la pandemia ha registrato una vera e propria esplosione, con le persone che lavorano da remoto e mettono a punto soluzioni IT per conto proprio», ha affermato Candy Alexander, CISO e responsabile del settore dei rischi informatici presso la società di consulenza tecnologica NeuEon, in un’intervista esclusiva concessa a Focal Point.
L’esplosione del cloud , dell’ e del software-as-a-service (SaaS) non fa che aggravare il problema. E l’imminente rivoluzione dell’intelligenza artificiale ( ) rende questa questione un tema che le imprese non possono più ignorare. «È davvero facile per i dipendenti procurarsi autonomamente le soluzioni», afferma Alexander. «La situazione è davvero fuori controllo.»
Lo “Shadow IT” si è appena rafforzato: vi presentiamo la “Shadow AI”
Una delle preoccupazioni più recenti riguardo all’uso non autorizzato della tecnologia nelle organizzazioni odierne è rappresentata dalla “shadow AI”, ovvero l’uso dell’intelligenza artificiale generativa per la creazione di documenti, codice, immagini e file audio. L’Shadow AI comporta per le organizzazioni gli stessi rischi – o potenzialmente anche maggiori – dello shadow IT.
". Al di fuori delle funzioni IT centrali e di divisione si stanno verificando più cambiamenti che al loro interno." L’“Shadow IT” è ormai una pratica comune.”Leigh McMullen, analista e vicepresidente di Gartner
«A causa del rapido ritmo con cui si sta diffondendo l’intelligenza artificiale generativa , molte organizzazioni non hanno ancora avuto modo di elaborare linee guida relative all’uso dell’IA», afferma Alexander. I principali rischi legati all’intelligenza artificiale “ombra” riguardano il bacino di dati da cui l’organizzazione attinge i contenuti. Se i dati sono imprecisi o distorti, lo saranno anche i risultati, con il rischio di danneggiare la reputazione dell’organizzazione o l’affidabilità del prodotto.
Si consideri, ad esempio, uno scenario in cui il personale del reparto marketing inizi a utilizzare strumenti di analisi basati sull’intelligenza artificiale social media per analizzare il comportamento dei clienti, ottimizzare le campagne pubblicitarie o prevedere le tendenze. Tali dipendenti non hanno ottenuto l’autorizzazione dall’organizzazione per l’utilizzo degli strumenti basati sull’intelligenza artificiale; pertanto, tali strumenti non sono adeguatamente regolamentati e non sono dotate delle misure di sicurezza appropriate. Tra i rischi connessi a ciò potrebbero figurare l’accesso da parte dello strumento a dati sensibili dei clienti o a informazioni riservate, il che potrebbe comportare violazioni dei dati, oppure il mancato rispetto dei requisiti normativi quali HIPAA o le norme dell’UE GDPR .
L’acquisto e l’utilizzo di tali sistemi, software, servizi e dispositivi senza l’approvazione del reparto IT comportano notevoli difficoltà per le organizzazioni, afferma Alexander. Ciò mette a rischio i dati dell’organizzazione, poiché non è noto quali applicazioni e strumenti abbiano accesso agli stessi; può comportare problemi di conformità, con conseguenti potenziali conseguenze legali e sanzioni pecuniarie qualora non vengano adottate misure specifiche; inoltre, può alimentare un ambiente IT frammentato, caratterizzato da sistemi disparati che non si integrano in modo fluido.
[Legga anche: 6 motivi per cui i dipendenti della Sua organizzazione ricorrono allo “shadow IT”]
«La sicurezza nella protezione dei dati consiste proprio nell’identificare, controllare e monitorare», afferma. «E non è assolutamente possibile farlo quando i dipendenti vanno in giro a lasciare le cose ovunque e in qualsiasi posto.» «Quando non si è davanti allo schermo, si perde completamente il controllo della situazione.»
Alla ricerca dell’IT sommerso
Senza gli strumenti e le procedure adeguati, è difficile valutare in che misura la vostra organizzazione sia influenzata dallo “shadow IT”. Tuttavia, afferma Chris Cruz, responsabile informatico del settore pubblico presso l’ Tanium, vi sono alcuni segnali a cui prestare attenzione. L’“Shadow IT” è un fenomeno diffuso nelle organizzazioni in cui le risorse non fanno capo a un reparto IT centralizzato, il che comporta una mancanza di struttura di governance e di approvvigionamento centralizzato. Di conseguenza, questi gruppi tendono a prendere le proprie decisioni, ad acquistare i propri prodotti e a seguire i propri protocolli, afferma.
«È davvero facile per i dipendenti procurarsi autonomamente le soluzioni di cui hanno bisogno.»Candy Alexander, CISO e responsabile del settore dei rischi informatici presso NeuEon
Tra gli altri segnali indicativi dell’esistenza di un “shadow IT” figurano aumenti inspiegabili della spesa IT, che indicano l’acquisto di strumenti o software non autorizzati e non in linea con i progetti IT approvati; reti federate al di fuori della rete centrale, che non richiedono ai singoli di garantire la trasparenza delle decisioni prese; e, infine, incidenti di sicurezza o violazioni dei dati riconducibili a soluzioni IT non approvate.
Tenere sotto controllo l’IT ombra
Data l’elevata posta in gioco, le organizzazioni dovrebbero adottare misure specifiche per ridurre e gestire lo “shadow IT”, dall’adozione di strumenti per l’ Detect e di software e applicazioni al coinvolgimento degli utenti nel dialogo sulle tecnologie che utilizzano:
1. Investire nelle tecnologie di gestione e individuazione delle risorse
Asset Gli strumenti di gestione, utilizzati per registrare e monitorare le risorse all’interno delle organizzazioni, e gli strumenti di rilevamento delle risorse, che eseguono la scansione delle reti per Detect individuare l’hardware e il software collegati alla rete di un’organizzazione, rappresentano due tecnologie fondamentali per contrastare l’IT ombra.
[Legga anche: Che cos’è l’individuazione e l’inventario delle risorse IT?
«La maggior parte delle organizzazioni oggi non sa quali risorse siano collegate alla rete», afferma Cruz. «Non sanno quanti endpoint possiedono né quali risorse siano presenti all’interno della rete. Senza un’adeguata gestione delle risorse e senza comprendere appieno ciò che accade all’ endpoint, non è possibile gestire ciò che non si può misurare.”
In un’azienda con circa 120 dipendenti, ad esempio, le tecnologie di rilevamento hanno individuato 148 applicazioni di cui l’organizzazione non era a conoscenza all’interno della propria rete, afferma Alexander. «È davvero incredibile, considerando le dimensioni dell’organizzazione, ma questi strumenti aiutano a mettere a fuoco esattamente ciò che sta accadendo.»
Questi strumenti non solo aiutano le organizzazioni a identificare endpoint, software e abbonamenti sconosciuti, ma consentono anche di risparmiare denaro dismettendo il software obsoleto, aggiunge Cruz. «È possibile che le aziende continuino a pagare per software che non utilizzano nemmeno. «Questi strumenti contribuiscono inoltre a garantire che dispongano delle licenze adeguate per il software in loro possesso, in modo che non sorgano problemi in occasione delle verifiche», afferma.
2. Elaborare un inventario
Dopo aver effettuato un'analisi degli strumenti, dell'hardware e del software, le organizzazioni dovrebbero redigere un inventario per determinare quali risorse siano ancora in uso, se siano necessarie, quali ridondanze esistano, quali software obsoleti possano essere dismessi e per quali software sia possibile rinegoziare i termini contrattuali, afferma Cruz.
«Non si può gestire ciò che non si può misurare.»Chris Cruz, responsabile informatico del settore pubblico, Tanium
«Un altro aspetto che questo inventario vi aiuta a individuare è quali software siano ancora in uso per i quali le credenziali di alcuni utenti non sono state ancora disattivate e potrebbero quindi consentire l’accesso a dati critici», afferma Cruz. «Ciò non solo vi aiuta a migliorare le vostre capacità operative e a ottimizzare il ritorno sull’investimento, ma vi consente anche di mettere a punto il vostro profilo di sicurezza e di ridurre l’utilizzo di software che presentano potenziali vulnerabilità di sicurezza che altrimenti non potreste individuare.»
3. Coinvolgere l'utente Community
Poiché i dipendenti sono alla base dello “shadow IT”, è fondamentale che le organizzazioni li coinvolgano nelle discussioni relative al software e agli strumenti che utilizzano, afferma Alexander. Consiglia di restringere il campo tra i vari strumenti o applicazioni simili, suddividendoli in categorie con poche opzioni, per poi cercare di comprendere perché l’ Community e li utilizza e quali sono gli aspetti che apprezza di essi.
«Le prime parole che dovreste pronunciare non dovrebbero essere: “No, non può farlo”.» È necessario instaurare un rapporto con l’azienda e con l’utente Community e comprendere appieno il motivo per cui utilizzano questi strumenti. È forse perché li hanno sempre utilizzati? È forse perché qualcuno ha suggerito loro di provarli? "È forse perché gli strumenti di cui dispone l’organizzazione non soddisfano le sue esigenze?" dice lei. «Chiedendo loro un parere, si sentono apprezzati per il ruolo che svolgono nella scelta delle tecnologie.»
4. Dare priorità all’istruzione e alla formazione
È importante che i dipendenti comprendano che esistono delle procedure che devono seguire quando intendono adottare nuovi strumenti e applicazioni, afferma Cruz. Per ridurre il fenomeno dello “shadow IT” all’interno delle organizzazioni, la formazione su tali procedure operative standard è di fondamentale importanza, afferma.
«La nostra priorità assoluta dovrebbe essere quella di rendere la scelta più sicura anche la più semplice.»McMullen
«Gli utenti devono essere parte integrante della soluzione, ma devono anche comprendere che tutti devono attenersi alle stesse politiche e procedure per l’acquisto di nuove tecnologie», afferma. «Più riusciremo a farlo e più riusciremo a garantire quel livello di comunicazione, collaborazione e fiducia all’interno della nostra organizzazione, meglio saremo in grado di affrontare il fenomeno dello “shadow IT” in futuro e di garantire che vi siano politiche adeguate che tutti possano seguire.»
Infatti, secondo Gartner, progettare i controlli di sicurezza in collaborazione con l’utente aumenta del 23% la probabilità di adottare comportamenti sicuri. «Dobbiamo diventare un e ossessionata dall’esperienza dei dipendenti in materia di sicurezza informatica», ha consigliato McMullen di Gartner. «La nostra priorità assoluta dovrebbe essere quella di rendere la scelta più sicura anche la più semplice da compiere.»
Tali politiche dovrebbero prevedere che i dipendenti possano utilizzare esclusivamente applicazioni preventivamente approvate; tuttavia, le organizzazioni dovrebbero anche mettere a disposizione procedure che gli utenti possano seguire per richiedere nuove applicazioni e strumenti da sottoporre a valutazione, sia tramite un portale dedicato che tramite un ticket dell’helpdesk, afferma Alexander. «Questo è importante perché si vuole che le persone sentano di poter contribuire a definire quali siano le esigenze tecnologiche», afferma.
Poiché le organizzazioni mirano a gestire lo “shadow IT”, è necessario comprendere che si tratta di un processo continuo, afferma Cruz. «È importante misurare, gestire, monitorare e assicurarsi che tutti seguano procedure e standard comuni, e che comprendano l’importanza di non lasciare porte aperte nei rispettivi ambienti», afferma. «Dico sempre che un’oncia di prevenzione vale una libbra di cura, e questo è il modo giusto per farlo.»
