Quest’oggi vorrei analizzare una questione di sicurezza che moltissimi IT, anche per mancanza di tempo, tendono a sottovalutare o comunque a tralasciare, ovvero lo Shadow IT.
Vorrei partire dalle basi: che cos’è lo Shadow IT? Si tratta di una negligenza da parte delle utenze che utilizzano applicazioni non autorizzate dalla nostra azienda. Nello specifico, con questo termine si indicano tutte quelle applicazioni che gli utenti utilizzano durante l’attività lavorativa o durante il tempo libero sui propri device aziendali, senza il consenso aziendale.
Solitamente agli utenti viene indicato di utilizzare le app aziendali dal loro PC aziendale, perché l’attività lavorativa richiede l’utilizzo di queste; ma, dato che, come piace dire a me, le vie dell’utente sono infinite, questi riescono sempre, in un modo o nell’altro, ad aggirare le normative o i blocchi aziendali in quanto credono di non essere controllati.
Vorrei fare un esempio concreto per spiegare lo Shadow IT, mettiamo che un utente debba inviare un file da 2 GB a un cliente/fornitore e non riesca a farlo tramite gli strumenti predisposti dal proprio reparto IT. Molto probabilmente cercherà una soluzione alternativa come WeTransfer o Dropbox per svolgere la condivisione. Da quel momento i dati aziendali transiteranno in una piattaforma che l’IT potrebbe non conoscere né tanto meno controllare.
Purtroppo, per la questione Shadow IT, è corretto, in molti casi, che gli utenti credano di non essere controllati, perché i reparti IT non hanno più tempo per monitorare tutti i perimetri aziendali, dato che ormai questi sono molto volatili a causa dello smart working e della grossa mobilità e interconnessione che i nostri device hanno.
Pertanto, l’IT non può mettersi a controllare tutti i log sui firewall quando le connessioni avvengono dal perimetro aziendale e bloccare tutte le applicazioni che non devono essere utilizzate sui device aziendali: serve uno strumento che svolga questi controlli in autonomia, in maniera continua, a livello di endpoint.
Inoltre, in questo preciso momento storico, questa mancanza di controllo sull’utilizzo centralizzato di applicazioni di terze parti sta favorendo lo sviluppo di una nuova variante dello Shadow IT, ovvero lo Shadow AI.
Che cos’è questo Shadow AI? Si tratta della pratica di utilizzare strumenti di AI non autorizzati all’interno del perimetro aziendale.
Sempre più spesso, infatti, gli utenti tendono ad abituarsi, nella vita privata, a utilizzare una specifica applicazione di AI per le loro questioni. In assenza di controlli efficaci, l’utente si sente autorizzato ad utilizzare il proprio strumento di AI per processare i dati aziendali, in modo da velocizzare il proprio lavoro.
Purtroppo questa pratica sta favorendo l’esfiltrazione incontrollata dei dati e sta contribuendo ad addestrare i vari modelli di AI gratuiti con dati che dovrebbero risiedere esclusivamente nel perimetro aziendale.
Microsoft ha sviluppato il servizio Defender for Cloud Apps, che ci permette di monitorare l’utilizzo inappropriato di applicazioni all’interno del perimetro aziendale e di applicarvi un blocco.
Defender for Cloud Apps è infatti il servizio CASB di Microsoft e, tramite l’agent di Defender for Endpoint, analizza il traffico in entrata e in uscita dai nostri endpoint, tenendo monitorato e tracciato il quantitativo di dati caricati o scaricati a livello di singolo utente e di singola applicazione.
Il vantaggio di questo servizio è che viene continuamente mantenuto da Microsoft, quindi moltissime applicazioni sono già censite e aggiornate senza che l’IT debba fare nulla. Infatti, ad esempio, se Vinted dovesse acquistare nuovi domini o utilizzare nuovi FQDN, Microsoft li aggiungerebbe automaticamente all’applicazione.
Inoltre, se gli utenti utilizzano app sconosciute, queste vengono automaticamente censite e registrate nel portale di Defender, in modo che possano essere analizzate.
Defender for Cloud Apps, oltre a monitorare, ci permette anche di bloccare l’utilizzo delle varie applicazioni in maniera granulare. Infatti, con questo servizio possiamo, senza problemi, consentire l’utilizzo di alcune applicazioni ad alcuni utenti, bloccarle per tutti oppure autorizzarle per l’intera organizzazione.
Queste attività di blocco e sblocco, a livello di effort dell’IT, richiedono davvero pochi clic per essere implementate; pertanto, in caso di cambiamenti repentini richiesti magari dai VIP della vostra azienda, vi sarebbe la possibilità di fornire loro gli accessi senza perdite di tempo.
Vorrei chiudere l’articolo con un piccolo suggerimento. Defender for Cloud Apps è uno strumento molto potente e, se utilizzato in maniera troppo restrittiva, con l’applicazione di blocchi troppo massivi, potrebbe causare una grossa perdita di produttività. Quindi il mio consiglio, per implementare la soluzione, è quello di abilitare tutta la parte di reportistica, analizzarla in maniera continuativa e definire un piano di protezione condiviso con l’azienda, a seguito di interviste ai vari reparti.
Questa metodologia di lavoro garantirebbe un’introduzione graduale ma ben definita della tecnologia, senza che questa venga vista come un blocco poco efficiente e quindi inutile.
Per approfondire quanto spiegato in questo articolo, puoi guardare il mio video su YouTube, dove con una presentazione costruita ad hoc illustro e racconto tutti i concetti sopra descritti.
Guarda il video qui