Mitarbeiter, die Anwendungen und Geräte ohne Genehmigung des IT-Personals verwenden, sind zu einem großen Sicherheitsproblem geworden.
Entdecken Sie Exposure CommandSchatten-IT ist die Nutzung von Systemen, Geräten, Software, Anwendungen und Diensten ohne ausdrückliche Genehmigung der IT. In der Tat beginnen Mitarbeiter laut dieser Veröffentlichung des United States National Institute of Standards and Technology in der Regel mit der Nutzung von „Schatten-IT-Systemen, wenn die vom Unternehmen bereitgestellten Systeme und Prozesse als umständlich oder arbeitshemmend angesehen werden oder wenn das Unternehmen die notwendigen Systeme nicht bereitstellt“.
Ein gutes Beispiel für Schatten-IT ist, wenn Mitarbeiter eines Unternehmens ungeprüfte oder nicht zugelassene Verbraucherprodukte an ein Firmennetzwerk anschließen, weil das Gerät möglicherweise ihre Arbeit beschleunigen kann. Historisch gesehen erforderte das Hinzufügen von Infrastrukturressourcen die Überprüfung und Genehmigung durch ein zentrales IT-Team, das letztendlich das letzte Wort darüber hatte, ob etwas bereitgestellt werden konnte.
Seitdem hat die Cloud-Infrastruktur das Eigentum an Ressourcen für Teams im gesamten Unternehmen demokratisiert, sodass die meisten Unternehmen von ihren Entwicklungsteams nicht mehr verlangen, Ressourcen auf die gleiche Weise anzufordern. Stattdessen sind Entwickler befähigt, die benötigten Ressourcen zu beschaffen, um ihre Aufgaben zu erledigen und den Code effizient bereitzustellen.
Diese Dynamik ist kritisch, um das Versprechen von Geschwindigkeit und Effizienz zu erreichen, das die Cloud-Infrastruktur und DevSecOps bieten. Der Kompromiss besteht hier jedoch in der Kontrolle. Dieser Paradigmenwechsel bedeutet, dass Entwicklungsteams regelmäßig Ressourcen ohne Wissen des Sicherheitsteams aufstocken könnten.
Zwischen neuen Kategorien von Geräten oder Systemen und neuen/bestehenden/alten Richtlinien können Identitätspraktiken schnell unübersichtlich werden. Werfen wir einen Blick auf einige eindeutige Schatten-IT-Beispiele, um alles leichter verständlich zu machen.
Diese Geräte sind an sich nicht in jedem einzelnen Unternehmen grundsätzlich verboten. Es ist die Art und Weise, wie sie verwendet werden und/oder ob sie ohne die richtige Identity and Access Management (IAM)-Software verwendet werden. Die meisten Organisationen erlauben persönliche Geräte, haben jedoch oft Vorschriften bezüglich der Art von Sicherheits- oder Identitätsanwendungen, die für deren Nutzung implementiert werden müssen.
Beispiele für diese Arten von Geräten umfassen die üblichen Verdächtigen: Smartphones, Laptops und Tablets. Geräte des Internet der Dinge (IoT) machen ebenfalls einen erheblichen Teil dieser Kategorie aus: Smartwatches, Bluetooth-Kopfhörer/Ohrhörer, Fitness-Tracker und Streaming-TV-Geräte.
Denken Sie an alle Softwareanwendungen, die ein Unternehmen verwendet, um Aufgaben zu erledigen: Projektmanagement, Instant Messaging, Videokonferenzen, Content-Marketing-Automatisierung, soziale Medien, E-Mails und mehr. Je nach den Bedürfnissen eines Teams kann es in einer bestimmten Kategorie mehr als ein Tool im Einsatz geben – und nur eines ist genehmigt.
Ein Hinweis hier: Ein Netzwerk ist nur so stark wie seine Richtlinien. Die Größe des Unternehmens sowie der IT- und Cybersecurity-Abteilungen sind ebenfalls zu berücksichtigen. Bei kleinen bis mittelgroßen Unternehmen kann es sein, dass das Team einfach nicht groß genug ist, um regelmäßig IT-Richtlinien zu erstellen und durchzusetzen. Das Unternehmensnetzwerk wird daher aufgrund der Anzahl neu hinzukommender, nicht genehmigter Geräte immer durchlässiger.
Es gibt zahlreiche Gründe, die einen Mitarbeiter dazu veranlassen könnten, Anwendungen und Software zu verwenden, die nicht von der IT genehmigt wurden. Einige dieser Anwendungsfälle sind verzeihlicher als andere, dennoch könnten alle Situationen letztendlich eine Lehre darin sein, wie sie ein Netzwerk anfälliger für Angriffe machen können. Lassen Sie uns einige Szenarien betrachten:
Vorteile von etwas so Riskantem wie Schatten-IT, fragen Sie sich vielleicht? Glauben Sie es oder nicht, es gibt tatsächlich einige Vorteile, wenn man nicht autorisierten Geräten den Zugriff auf ein Unternehmensnetzwerk erlaubt.
In der Tat gibt es Risiken bei offenen oder lockeren Schatten-IT-Richtlinien, daher ist es am besten, einen Mittelweg zu finden. Dies könnte bedeuten, dass die IT nach unbefugten Apps scannt und keine Maßnahmen gegen bekannte Apps oder Geräte mit von Natur aus starker Sicherheit ergreift, die zu einem bestimmten Zeitpunkt möglicherweise nicht autorisiert sind, im Netzwerk zu sein.
Wie wir bereits ausführlich besprochen haben, gibt es viele Sicherheitsrisiken, die mit der absichtlichen oder unabsichtlichen Duldung von Schatten-IT in einem Unternehmensumfeld verbunden sind.
Jeder ist zwar voll ausgelastet, doch die tägliche Arbeit ist bedeutungslos, wenn keine Richtlinien umgesetzt werden, die verhindern, dass Angreifer Schwachstellen ausnutzen und dem Ruf des Unternehmens schaden. Sie könnten umfassen:
Da Sicherheitsteams keine Kenntnis von Schatten-IT-Assets haben, bleiben Schwachstellen zwangsläufig unbehoben. Entwicklungsteams verstehen möglicherweise nicht – oder entscheiden sich einfach dafür, die Bedeutung von Cloud-Sicherheitsupdates oder Patches für diese Arten von Assets zu ignorieren.
Wenn unbefugte Nutzer auf Cloud-Ressourcen zugreifen, könnten Schwachstellen in Netzwerk-Assets unentdeckt bleiben und Unternehmen der Gefahr von Datenpannen oder -lecks aussetzen. Zusätzlich sind diese Daten höchstwahrscheinlich nicht durch zentrale Backups geschützt, was ihre Wiederherstellung schwierig – wenn nicht gar unmöglich – macht.
Die meisten Cloud-Compliance-Vorschriften erfordern die Verarbeitung, Speicherung und Sicherung von Kundendaten. Da Unternehmen keinen Überblick über die auf Schatten-IT-Assets gespeicherten Daten haben, könnte dies schnell zu einem Problem werden.
Was kann ein Cybersecurity-Team also gegen das Potenzial tun, dass Schatten-IT im Netzwerk überhand nimmt? Ein guter Ausgangspunkt ist die Implementierung einer Cloud-Risiko - und Compliance-Management-Plattform, um die gesamte Cloud-Umgebung kontinuierlich zu bewerten und Änderungen zu erkennen – wie zum Beispiel neue Assets, die online gehen.
Sobald ein neues Gerät sich anmeldet oder eine neue Ressource im DevOps-Prozess hochgefahren wird, sollte diese Art von Plattform in der Lage sein, sie in Echtzeit zu erkennen und automatisch festzustellen, ob sie den Unternehmensrichtlinien entspricht.