Schatten-IT bezieht sich auf die nicht autorisierte Nutzung von IT-Systemen ohne vorherige Kenntnis oder Genehmigung der zentralen IT-Abteilungen. Aufgrund ihrem "inoffiziellen Charakter" kann Schatten-IT die Sicherheit von Organisationen gefährden.

Laut Track Resources gaben 80% der Mitarbeiter zu, dass sie SaaS-Anwendungen zur Erledigung ihrer Arbeit nutzen, ohne die Genehmigung der IT-Abteilung einzuholen. Solche Anwendungen werden als Schatten-IT-Anwendungen bezeichnet.

Warum werden Schatten-IT-Anwendungen verwendet?

Die Benutzer greifen auf diese Anwendungen zurück, um ihre Arbeit schneller, einfacher, flexibler und manchmal auch produktiver zu gestalten. Beispielsweise ist die Installation und Nutzung einer SaaS-Anwendung zur Erledigung einer Teilaufgabe oder die Verwendung einer externen Festplatte zum Kopieren sensibler Unternehmensdaten zur Erleichterung der Arbeit von unterwegs aus schneller als das Warten auf die Genehmigung der IT-Abteilung für die Anforderung dieser IT-Ressourcen.

Mit einer Fülle von Optionen und ihrer Benutzerfreundlichkeit helfen Schatten-IT-Anwendungen den Benutzern, ihre Produktivität zu maximieren, ihre allgemeine Erfahrung zu verbessern und eine höhere Effizienz zu erzielen. Die entscheidende Frage ist jedoch: zu welchem Preis?

Warum ist Schatten-IT ein Problem?

Auch wenn hinter der Nutzung von Schatten-IT-Anwendungen durch Mitarbeiter keine böswilligen Absichten stehen, können die Folgen gravierend sein.

• Die Verwendung von Unternehmensdaten zur Anmeldung bei Anwendungen, die nicht vom Security Operations Center (SOC) verwaltet und überwacht werden, macht das Netzwerk anfällig für Angriffe.
• Die Nutzung von Anwendungen mit Sicherheitsrichtlinien, die nicht mit den Unternehmensrichtlinien übereinstimmen, kann zu Sicherheits- und Compliance-Problemen führen.
• Die versehentliche Offenlegung sensibler Informationen über nicht verwaltete SaaS und nicht zugelassene externe Speichergeräte kann zu großen Verlusten für Unternehmen führen.
• Die Lizenzierung von nicht genehmigten IT-Ressourcen erhöht die Betriebskosten eines Unternehmens exponentiell. Laut einer Studie von Track Resources geben Unternehmen in den USA und im Vereinigten Königreich jährlich rund 34 Milliarden US-Dollar für Schatten-IT-Ressourcen aus.

Da solche Anwendungen nicht sichtbar sind, haben Unternehmen Schwierigkeiten, die Kontrolle über ihre Daten und ihre Sicherheit zu behalten.

Die 5 wichtigsten Punkte, die bei der Bewältigung von Schatten-IT zu beachten sind

Die Verwaltung von Schatten-IT ist eine Herausforderung, und es ist wichtig, keine voreiligen Schlüsse zu ziehen und keine unüberlegten Entscheidungen zu treffen.

Hier sind einige Dinge, die Sie beim Umgang mit Schatten-IT in Ihrem Unternehmen berücksichtigen können.

1. Sichtbarkeit:

Der erste Schritt zur Lösung eines Problems besteht darin, es zu erkennen. In diesem Fall brauchen Sie eine vollständige Sichtbarkeit des gesamten Netzwerks, um die Nutzung von Schatten-IT zu erkennen. Eine bessere Sichtbarkeit hilft Ihnen dabei, das Ausmaß dieses Problems einzuschätzen und mögliche Lösungsansätze zu entwickeln.

2. Vollständige Sperrung des Zugangs:

Sobald Sie die Anzahl der genutzten Schatten-IT-Anwendungen ermittelt haben, scheint es am logischsten, den Zugriff vollständig zu sperren, um die damit verbundenen Risiken zu beseitigen. Dies könnte jedoch kontraproduktiv sein, da es dazu führen könnte, dass Benutzer auf weniger bekannte, weniger sichere Anwendungen ausweichen, die das Problem aufrechterhalten. Dies verfehlt nicht nur den Zweck, sondern setzt Ihr Unternehmen auch einem größeren Cybersicherheitsrisiko aus.

3. Einen Prozess einrichten:

Ein häufiger Grund für den Einsatz von Schatten-IT ist die Umgehung der Zeit, die erforderlich ist, um die Genehmigung einer Anwendung durch das IT-Sicherheitsteam zu erhalten. Sie können dieses Problem angehen, indem Sie ein effizientes Genehmigungsverfahren für Schatten-IT-Anwendungen einführen. Auf diese Weise wird sichergestellt, dass den Benutzern die benötigten Ressourcen bei Bedarf zur Verfügung gestellt werden.

Ein solches Verfahren steigert die Produktivität und Moral der Mitarbeiter und fördert die Innovation in Ihrem Unternehmen.

Im Folgenden finden Sie einige Fragen, die Sie sich bei der Nutzung von Schatten-IT stellen sollten:

1. Welchem Zweck dient die Schatten-IT-Anwendung?
2. Welchen Mehrwert bietet die Schatten-IT-Anwendung gegenüber den zugelassenen Anwendungen?
3. Kann dieser Wert von jeder anderen genehmigten Anwendung repliziert werden?
4. Wie hoch sind die Kosten für die Implementierung?
5. Welche Risiken sind mit der Nutzung der Schatten-IT-Anwendung verbunden?

4. Kommunikation mit den Mitarbeitern:

Die Aufklärung der Mitarbeiter über die Auswirkungen dieser Anwendungen ist eine der effektivsten Möglichkeiten, mit Schatten-IT umzugehen.

Zunächst einmal sind sich die meisten Menschen nicht bewusst, dass diese Anwendungen ohne entsprechende Genehmigung nicht genutzt werden können. Schaffen Sie ein Bewusstsein, indem Sie die Liste der Anwendungen, die zur Erleichterung der täglichen Arbeit genutzt werden können, und die mit der Nutzung nicht genehmigter Schatten-IT-Anwendungen verbundenen Risiken erläutern.

5. Proaktive Maßnahmen ergreifen:

Selbst wenn Sie all diese Maßnahmen umsetzen, wird es Fälle von Nachlässigkeit geben, und es ist wichtig, auf diese Möglichkeit vorbereitet zu sein.

• Führen Sie regelmäßig Audits Ihres Netzwerks durch, um nicht autorisierte IT-Systeme zu identifizieren, damit Sie das Ausmaß des Problems verstehen können.
• Überwachen Sie den Zugriff der Nutzer auf Cloud-Anwendungen, um sicherzustellen, dass sensible Unternehmensdaten auch außerhalb der Sicherheitsgrenzen des Unternehmens sicher sind.

Die beste Möglichkeit, diese Ziele zu erreichen, ist der Einsatz einer Cloud Access Security Broker-Lösung (CASB). Ein CASB ist eine lokale oder in der Cloud gehostete Software, die als Gatekeeper fungiert und die Interaktion zwischen Nutzern und Cloud-Service-Anbietern überwacht. Es handelt sich um eine maßgeschneiderte Lösung zur Überwachung von Cloud-Aktivitäten und Schatten-IT.

Mit einer CASB-Lösung können Sie:

• Nicht genehmigte Schatten-IT-Anwendungen aufdecken.
• Benutzeraktivitäten auf Cloud-Anwendungen regulieren.
• Zugriffsrichtlinien durchsetzen, um festzulegen, wer auf was in der Cloud zugreift.
• Anomale Aktivitäten in Cloud-Anwendungen erkennen, z. B. die Bewegung großer Datenmengen.
• Das Herunterladen und die Installation von Anwendungen überwachen, die nicht von der IT-Sicherheitsabteilung genehmigt wurden.