Riepilogo
Ogni volta che un dipendente utilizza un servizio IT, una soluzione o un dispositivo personale non approvato o sconosciuto al proprio reparto IT, si parla di IT ombra – ed è un problema in crescita. I dipendenti hanno generalmente buone intenzioni, ma non si rendono conto dei pericoli che ciò comporta per l'organizzazione. È compito del team di sicurezza scoprire perché si rivolgono a queste app esterne e fornire modi sicuri e protetti per raggiungere i loro obiettivi.
"Penso che tu abbia colto nel segno quando hai detto… la sicurezza deve essere al servizio del business," afferma Stephanie Aceves di Tanium. "Non si tratta di: Fare queste 40 cose in modo da poter spuntare questa casella."
Host: Stephanie Aceves, direttrice senior della gestione dei prodotti, Tanium
Ospite: Candy Alexander, CISO e responsabile della pratica cyber, NeuEon Inc.
Note dello show
Per ulteriori informazioni sull'IT ombra e sui modi migliori per tenerlo sotto controllo, esplora questi articoli su Focal Point, la pluripremiata rivista online di notizie cyber di Tanium, e queste altre risorse utili.
- L'IT ombra è 'fuori controllo' – Ecco come gestire il rischio | Focal Point
- 6 Motivi per cui le persone nella tua organizzazione utilizzano l'IT ombra | Tanium
- Che cos’è l’analisi e l’inventario di “ Asset ”? | Focal Point
- Con Tanium Asset, puoi combattere l'IT ombra sfruttando i dati in tempo reale | Tanium
Trascrizione
La seguente intervista è stata modificata per maggiore chiarezza.
"Non possiamo presumere di essere il "dipartimento del no." Quei tempi sono finiti ’90s, giusto? Quindi dobbiamo capire meglio cosa sta cercando di realizzare l'azienda e quali sono le sue sfide."Candy Alexander, CISO e responsabile della pratica cyber, NeuEon Inc.
Stephanie Aceves: È probabile che, come la maggior parte dei lavoratori, tu abbia infranto le regole: forse hai ignorato la politica aziendale e utilizzato un'app non approvata come Trello o Dropbox, oppure hai usato un fitness tracker connesso alla rete aziendale, o hai inviato lavoro alla tua email personale.
Salve, sono Stephanie Aceves, direttore senior della gestione dei prodotti presso Tanium, e oggi su Let's Converge, parliamo di shadow IT e della sua versione più recente e preoccupante, lo shadow AI.
Nei prossimi tre anni, 75% dei dipendenti avrà creato, modificato o in qualche modo acquisito tecnologia che il loro reparto IT non ha approvato e di cui non sa l'utilizzo. È quanto emerge da una ricerca di Gartner. E la prossima rivoluzione dell'IA non farà che peggiorare le cose.
Ad unirsi a me oggi per parlare di questo tema è Candy Alexander, CISO e responsabile della pratica cyber presso NeuEon Inc., una delle principali società di consulenza nella gestione aziendale. Oltre a sviluppare e gestire programmi di sicurezza aziendale, Candy è stata eletta due volte presidente internazionale dell'Information Systems Security Association, o ISSA, ed è stata a lungo membro del consiglio internazionale. Benvenuta al podcast, Candy.
Candy Alexander: Grazie, Stephanie. È un piacere essere qui.
Aceves: Siamo così felici di averti con noi. Quindi voglio iniziare dalle basi. Lo shadow IT è un problema crescente per le aziende e si manifesta in molte forme diverse. Ogni volta che un lavoratore utilizza un servizio IT, una soluzione o un dispositivo che il suo reparto IT non ha approvato o di cui non è a conoscenza, si tratta di shadow IT.
Quando ho iniziato la mia carriera, prima di essere davvero nel settore della sicurezza informatica, ero un'interna in un'azienda aerospaziale, e andavo su internet e scaricavo semplicemente le mie versioni di Notepad++ o qualsiasi altro strumento tu voglia nominare, senza capire davvero il rischio. Penso che la maggior parte delle persone che ascoltano abbiano un'idea di questo problema. Ma Candy, quali sono alcune delle forme più subdole di shadow IT e i prodotti e le pratiche che i dipendenti potrebbero non rendersi conto essere problematici?
Alexander: Alcune delle più subdole – in realtà direi anche le più rischiose – sono quelle che hanno a che fare con i dati sensibili. Quello che intendo dire è che tutti sanno, spero, che il comune shadow IT utilizza strumenti come Dropbox o Google Drive – [ride] ho persino trovato persone che si sono registrate su Google usando il dominio aziendale e tutto il resto – il che ovviamente è una preoccupazione.
Ma penso che gli usi più subdoli o più pericolosi dello shadow IT siano quelli che, ancora una volta, riguardano informazioni riservate o sensibili. E quindi cosa significa? Ammettiamolo: quando abbiamo la nostra comunità di utenti e le aziende, vogliono semplicemente svolgere il proprio lavoro. E il modo migliore per farlo è attraverso l'uso di strumenti. So che molti utenti trovano che richiedere l'uso di software possa essere un percorso lungo e davvero difficile da affrontare nelle aziende o nelle grandi imprese americane, e globali, a dire il vero.
Quindi vanno in giro e provano versioni gratuite di qualsiasi cosa. Alcune di quelle che ho visto usate più comunemente, che ci crediate o no, sono applicazioni di gestione dei progetti – come Monday, come Asana. Voglio dire, mi sono persino imbattuto in casi di persone che usavano le proprie versioni personali private di Microsoft Planboard o altro, ed è questo che preoccupa di più un CISO – perché si tratta di dati aziendali ora fuori dal vostro controllo.
Quindi per me, questi sono quelli più subdoli, quelli che esistono per ragioni legittime, e le intenzioni d'uso sono sempre buone. Penso che la cosa importante da sottolineare davvero sia che quando i dipendenti hanno o utilizzano shadow IT o vanno al di fuori dei parametri del software approvato dall'azienda, lo fanno con buone intenzioni. E penso che noi, come persone che si occupano di sicurezza, dobbiamo capire che cercano davvero di fare la cosa giusta. Quindi, ancora una volta, questi sono quelli che mi preoccupano di più, l'uso [poco compreso] di quelle applicazioni.
Aceves: Sì, mi piace molto. E hai toccato in qualche modo il rischio associato alla perdita di dati,... informazioni sensibili che lasciano i dispositivi aziendali o le risorse gestite dall'azienda. Esiste un rischio nella direzione opposta, dove magari io come dipendente sto installando un'applicazione e potrebbe esserci la possibilità che un attaccante entri dall'esterno? Questo rischio è bidirezionale, o vedi i CISO tipicamente più preoccupati per le comunicazioni in uscita o il traffico in uscita?
Alexander: Beh, penso che sia un po' di entrambe le cose, giusto? Molti professionisti della sicurezza lo vedono come il flusso in uscita, l'uso di SaaS [software as a service], e cose di questa natura. Ma penso che tu debba anche capire il problema bidirezionale. Avrai dipendenti che, se hanno privilegi amministrativi locali sui loro endpoint, installeranno cose, te lo prometto. Perché perdono il concetto che il dispositivo che è stato loro assegnato non è il loro dispositivo. "È il mio endpoint." Ma non è il tuo endpoint. È tuo da usare, ma non hai il diritto di installare cose.
Quindi questo porta alla domanda che hai sollevato: cosa succede quando i dipendenti installano applicazioni sul loro endpoint? È molto pericoloso perché non c'è alcuna verifica che si tratti di una buona app. Ad esempio, almeno con Apple hai l'App Store, e anche Google [esamina] in una certa misura il proprio app store, ma almeno con Apple, lo verificano in modo significativo.
Ma anche se vai a scaricare un'applicazione dall'Apple Store che è stata pre-verificata da Apple, ciò non significa che non sia rischiosa per le attività aziendali della tua azienda. Quindi, come gruppo di sicurezza, potreste non avere idea di cosa sia installato, o se si tratta di un'applicazione in qualche modo legittima, come viene utilizzata?
Dove sono i dati? Perché è tutto una questione di dove si trova l'ultimo uovo d'oro. È memorizzato nel vostro ambiente sull'endpoint, o è da qualche parte nel cloud? Se si trova sull'endpoint, molte aziende, ve lo assicuro, non eseguono il backup di quegli endpoint perché tutti stanno passando al cloud computing. Quindi indovinate un po'? Ora avete un problema di contingenza.
E voglio dire, sono sicuro che abbiamo tutti quelle storie di guerra in cui abbiamo utenti [che dicono], "Oh, ho scaricato tal dei tali, e ho tutti questi dati sul mio hard drive e il mio dispositivo è andato kaplooey, e ora sono spariti." E arrivano le lacrime e il dispiacere perché quel lavoro è andato perduto. E speriamo che non sia critico per il business. Quindi ci sono tutta una serie di pericoli da questo punto di vista, indipendentemente da dove si trovano i dati, finché non sono gestiti – ricordate la regola dei dati non gestiti – è molto pericoloso.
Aceves: E mi piace che tu abbia iniziato a parlare di dove si trova il rischio, e del non avere parte di quella visibilità. Puoi parlarmi di come consigli? So che molti dirigenti ascoltano questo podcast, quindi come li consiglieresti per iniziare a capire qual è la loro attuale esposizione al rischio e da dove cominciare. Potrebbero avere un certo tipo di visibilità su ciò che sta accadendo, ma se sono un nuovo CISO e ho ereditato forse un'azienda incline a fusioni e acquisizioni e non ho proprio idea di cosa stia succedendo, da dove comincio?
Alexander: Indipendentemente da dove vado per iniziare a lavorare, che si tratti di un progetto con un cliente o di un nuovo lavoro o altro, ci sono un paio di domande con cui comincio, allo scopo di definire il rischio e l'ambiente. Le mie prime domande sono: Posso avere una mappa topologica? Quali sono i dispositivi utilizzati? E poi, che ci crediate o no, una struttura organizzativa, così so chi incolpare. [Ride] Non dovrei dire incolpare, è sbagliato. [Lei e Stephanie ridono.] Ma con chi vado a parlare? Perché la struttura di governance deve riflettere la struttura organizzativa. Ecco perché chiedo l'organigramma. Ma senza conoscere quali siano i parametri – e quindi questo è un po' il vecchio approccio del computing on-premises – o capire qual è l'ambiente SaaS, giusto? Tutti stanno passando al cloud-native ora, ma bisogna iniziare da qualche parte per comprendere l'ambiente, perché se non si comprende il panorama, non lo si può proteggere.
Quindi il primo passo è farsi un'idea, una visione d'insieme di come appare dal punto di vista dello scope. Stiamo parlando di server on-prem? Dal punto di vista degli endpoint, stiamo parlando di Windows e Mac, o iOS? È solo Windows da un ambiente SaaS? Dove si trovano quelle istanze autorizzate? Stai usando Microsoft? Stai usando Paylocity? Qual è l'ambito di quell'azienda? Quindi è da lì che devi iniziare, e in questo modo puoi cominciare a capire e costruire quello che è il profilo di rischio.
Aceves: Sì, assolutamente. Ora, mentre stiamo parlando di come i dirigenti possono iniziare a gestire la situazione, puoi condividere un po' di quello che stai iniziando a vedere, diciamo, sul campo o con le organizzazioni con cui stai lavorando?
Alexander: Molte volte un'organizzazione potrebbe non avere ufficialmente, o il gruppo IT potrebbe non avere le competenze per, ad esempio, supportare i dispositivi Apple. Ma l'organizzazione riconosce anche, ad esempio, che il loro gruppo marketing o il gruppo vendite ha bisogno di iPad. Quindi questo è comunque un riconoscimento, un'ammissione che si tratta di un dispositivo aziendale. Quindi questo è ciò che intendo con posseduto e supportato. Quindi ci sono differenze, ma sono entrambi sanzionati, rientrano tutti nell'ambito. Qualsiasi cosa al di fuori di questo è ciò che chiameremmo shadow IT.
Quindi come si inizia a scoprire cosa viene utilizzato in quello shadow IT? Ci sono un paio di approcci: è l'approccio del vecchio, per così dire, proverbiale "persone, processo e tecnologia." E quindi si tratta di comprendere quei diversi settori. Cosa avete lì per gli endpoint? Cosa avete per i server? Avere un inventario degli asset per identificarli è fondamentale. E questo include anche il cloud, che è ovviamente il più impegnativo.
Aceves: Sì, mi piace molto. Qualcosa che hai detto all'inizio mi è rimasto impresso – che i dipendenti vogliono fare la cosa giusta. Vero?
Alexander: Mm-hmm.
Aceves: E molte volte stanno solo cercando di portare a termine il loro lavoro e stanno cercando di essere più efficienti. E questo si concentra davvero su qualcosa: come facciamo a sapere, se hanno privilegi amministrativi locali, come li utilizzeranno. E l'obiettivo è impedire loro di esporre l'azienda a rischi aggiuntivi, ma non di impedire loro di svolgere il proprio lavoro. E questa è la vecchissima tensione che gestiamo nell'IT, ovvero come assicurarsi di avere politiche in atto, che si tratti di politiche sulle persone o della tecnologia effettiva, che rafforzino i sistemi e limitino il rischio ma non ostacolino l'azienda nel funzionare come tale e nel fare le cose che deve fare per operare?
Puoi condividere qualcosa su come possiamo davvero aiutare gli utenti finali a capire qual è il rischio o persino applicare politiche riguardo all'IT ombra che non siano di ostacolo alla loro quotidianità? Come li manteniamo in movimento alla velocità che desiderano e li supportiamo allo stesso tempo?
Alexander: Si ricollega a due cose, e la prima è: a ogni regola d'oro c'è un'eccezione. Penso che dobbiamo ricordare che i controlli di sicurezza e i requisiti che abbiamo, e le politiche, sono in realtà lì per una ragione. Tuttavia, nulla è assoluto. E non possiamo presumere quella posizione di essere il "dipartimento del no." Quei tempi sono finiti ’90s, giusto?
Aceves: Sì.
Alexander: Quindi dobbiamo capire meglio cosa sta cercando di realizzare il business e quali sono le loro sfide. Quindi quando abbiamo utenti che vanno a installare o utilizzare un'IT ombra, come le applicazioni di gestione dei progetti,... se useranno Monday, Asana, o Riker o qualsiasi altra cosa, la prima domanda che mi viene in bocca è, beh, perché? Cosa c'è in quell'applicazione?
Quindi, ancora una volta, penso che dobbiamo solo fare un passo indietro e capire che come professionisti della sicurezza, siamo lì per supportare il business. Non siamo lì per fare da guardiani o (ancora) il dipartimento del no. Siamo lì per supportare il business. E come puoi supportare il business se non parli con il business?
Quindi posso promettervi che i clienti con cui lavoro… Ecco una piccola storia: ho lavorato per questo account e riportavamo al CFO. E quindi, prima di tutto, mi sono abituato a spiegare le cose davvero in termini aziendali. Quindi è stato un buon esercizio. Ma poi è entrato e ha detto: "Ascolta, so che devi andare a parlare con il tale in R&D, e fammelo sapere se hai qualche problema. Ho pensato: "Beh, è un modo un po' strano di mettere le cose, ma certo, te lo farò sapere." Quindi vado a parlare con il vicepresidente di R&D. E l'ho approcciato con: "Ok, aiutami a capire la tua attività. Quali sono le sfide che stai affrontando?"
Quindi subito, iniziando la conversazione in quel modo, è diventato ovvio che ero lì per aiutarlo a fare il suo lavoro, non per bloccarlo [lui]. Fammi capire qual è la tua attività, quali sono le tue sfide, e lasciami aiutarti a identificare una soluzione che sia sia sicura che protetta. Perché, ancora una volta, le persone vogliono fare la cosa giusta. Non hanno le competenze necessarie, né dovrebbero averle, giusto? Ecco perché siamo qui. Quindi quando altri professionisti della sicurezza dicono, beh, sto cercando di insegnare agli dirigenti la sicurezza, è come, perché mai dovresti farlo? Il tuo CFO viene da te e ti dice che devi imparare a fare qualunque cosa? Assolutamente no. Quindi perché lo stiamo facendo a loro? Li stiamo mettendo in una posizione destinata al fallimento.
Quindi vado e dico, ascolta, porto queste competenze sul tavolo. Lascia che lavori con te per capire come far accadere quel business in modo sicuro e protetto. Ogni conversazione che ho con il business è in questo senso, e ciò immediatamente stabilisce una partnership e un approccio collaborativo per andare avanti.
Quindi si arriva al punto in cui, attraverso questo approccio, si crea una fiducia. Ora sono davvero il cliché: sono il loro consulente di fiducia in materia di sicurezza. Ed è quello che dovremmo essere. Quindi, una volta che comprendono i rischi, lavorando con loro per capire qual è il loro caso d'uso, il processo è molto più semplice. Quindi, una volta che capisco che hanno bisogno di utilizzare questo software di gestione dei progetti, indovinate un po'? Stabiliremo i parametri per l'utilizzo e lo approveremo.
Aceves: Sì, ed è strano, ho un punto di vista un po' polarizzante su qualcosa che penso faccia scattare molte persone, ma personalmente non credo nella disciplina, e spiegherò il perché. Penso che la disciplina alla fine fallirà ad un certo punto. E quindi finché non rendi la scelta giusta quella più facile – un mio collega me lo ha detto, ed è diventata una sorta di filosofia di vita da allora. Finché non rendi la scelta giusta quella più facile, cioè il percorso di minor resistenza. Pensa all'acqua che scorre giù per una collina. Ecco come si influenza un cambiamento duraturo. Chiedere alle persone di camminare in salita ogni giorno, un giorno si stancheranno e non lo faranno più. Un giorno, ci saranno altre cose, ci sarà troppo che stanno cercando di gestire, e il sistema si sgretola.
E se sappiamo qualcosa della psicologia umana è che se succede una volta, non è successo niente di brutto, ok, continuerò a farlo. E poi iniziamo la discesa nel verso sbagliato.
Quindi penso che tu abbia centrato il punto quando hai detto che siamo quasi in servizio. Siamo consulenti di fiducia, la sicurezza deve essere al servizio del business. Non si tratta di: Fai queste 40 cose in modo da poter spuntare questa casella. Si tratta di: Come hai bisogno di gestire la tua parte del business? Lasciami capire come mettere le protezioni nel modo giusto per te, così che tu possa farlo in sicurezza. Ho fatto molta formazione e abilitazione nel settore della sicurezza informatica, anche con i miei familiari o con gli estranei che incontro sugli aerei, e sono affascinati da queste cose che noi in IT consideriamo normali. [Lei ride.]
Lo vediamo perché siamo in questo mondo ogni giorno. Mi viene sempre posta la domanda: come faccio a essere sicuro che le mie informazioni non vengano hackerate? Beh, inizia dalle basi, giusto? Inizia davvero con la gestione delle password e tutte quelle cose. Ma come facciamo ad arrivare a un punto in cui – ho i miei genitori sui gestori di password. Hanno ancora, dio li benedica, tipo tre password che riutilizzano. E quindi c'è qualcosa che deve essere fatto nel settore tecnologico per attirare e invogliare davvero gli utenti a trarne valore, dove questo diventa poi il percorso di minima resistenza. Penso che la disciplina inevitabilmente fallirà a un certo punto, e si corre il rischio che fallisca a lungo termine.
Alexander: Hai mai provato ad addestrare un animale?
Aceves: Oh, sì.
Alexander: Come un cavallo o un cane?
Aceves: Non un cavallo. Un cane, sì.
Alexander: Quindi l'incoraggiamento positivo funziona meglio e la disciplina è un fallimento perché si rivolteranno contro di te. E non puoi permettertelo in un'azienda. Non puoi permettere che l'azienda si rivolti contro di te. E stabilendo quel rapporto, verranno da te in modo proattivo. E mi è capitato: "Accidenti, Candy, vogliamo andare a fare questo. Cosa ne pensi?" È allora che sai di aver avuto successo.
Aceves: Sì, assolutamente. Bene, Candy, grazie mille. Questa è stata una delle mie conversazioni preferite fino ad oggi.
Ho parlato con Candy Alexander, CISO e responsabile della pratica cyber presso NeuEon Inc.
Se vuoi saperne di più su shadow IT e shadow AI, dai un'occhiata a Focal Point, la rivista online di notizie informatiche di Tanium. Abbiamo inserito i link agli articoli pertinenti nelle note dello show, e puoi consultarli visitando tanium.com/p.
Per ascoltare altre conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi, assicuratevi di iscrivervi a Let's Converge sulla vostra app podcast preferita e, se vi è piaciuto questo episodio, lasciateci una valutazione a cinque stelle.
Grazie a tutti per aver ascoltato. Non vediamo l'ora di condividere altri approfondimenti informatici nel prossimo episodio di Let's Converge.
