什麼是影子 IT？

什麼是影子 IT？

「影子 IT」是指在組織內未經批准使用軟體、硬體或其他系統和服務，而該組織的資訊技術 (IT) 部門往往並不知情。與標準的 IT 基礎結構不同，影子 IT 並非由組織內部進行管理。

影子 IT 可能以不同的方式進入組織，但通常是透過下面兩個動作之一而發生：

1. 使用未經核准的工具存取、儲存或共用公司資料。例如，如果一個組織僅核准了 Google Workspace 用於檔案共用，那麼員工可能會因選擇透過 Microsoft 365 共用檔案而將影子 IT 引入公司。
2. 以未經授權的方式存取核准的工具。繼續上述範例，如果 IT 部門已核准透過公司管理的帳戶使用 Google Workspace，那麼員工可能因選擇透過未受管理的個人帳戶存取 Google Workspace 而將影子 IT 引入公司。

無論影子 IT 的採用是有意還是無意，它都會造成嚴重的安全問題和成本。它增加了資料外洩、竊取和其他網路攻擊的風險，同時阻止了 IT 團隊採取關鍵措施來減少這些可能造成的損害。

使用者為什麼要採用影子 IT？

鑑於影子 IT 帶來的大量安全風險，員工在採用新工具時選擇繞過 IT 部門核准的做法似乎很令人驚訝。他們這樣做的原因可能包括以下幾點：

• 員工沒有意識到影子 IT 固有的安全風險。員工可能不是故意要繞過其 IT 部門所實施的控制，而只是不知道他們的行為會損害敏感的企業資料，增加資料外洩和攻擊的風險。
• 員工更注重使用未經批准的工具所帶來的好處。最適合工作的工具可能不是組織的 IT 部門明確核准的工具。這往往促使員工採用其他服務，從而幫助他們滿足特定的業務需求，在市場上獲得競爭優勢，或更有效地進行協作。
• 員工使用未經核准的工具進行惡意活動。大多數影子 IT 不是為了惡意目的而採用的；然而，一些員工可能會選擇採用未經批准的應用程式和工具，以竊取資料、存取機密資訊或給組織帶來其他風險。

影子 IT 有哪些風險？

雖然影子 IT 可能會讓部分員工更易於完成工作，但它的弊端遠遠超過了它的好處。如果 IT 團隊無法追蹤工具和服務在整個組織中的使用情況，他們可能不知道影子 IT 的滲透程度，也不知道企業資料的存取、儲存和傳輸情況。

影子 IT 的使用還導致 IT 團隊失去對資料管理和移動的控制。當員工使用未經核准的服務或透過未經核准的方法在核准的服務中工作時，他們可能會在沒有 IT 部門適當監督的情況下檢視和移動敏感性資料。由於缺乏可見度和控制，影子 IT 可能會帶來額外的風險，包括以下方面：

• 敏感性資料可能被洩漏或竊取。攻擊者可以利用雲端託管服務中的設定錯誤和漏洞，為資料外洩和其他網路攻擊打開大門。IT 部門可能對此類攻擊並不知情，當攻擊針對未經批准（且可能不安全）的應用程式和工具時則尤為如此。而補救這些攻擊則可能代價昂貴：在 2020 年的一項研究中，IBM 估計，由雲端錯誤設定造成的資料外洩會帶來平均 441 萬美元的損失。
• 組織可能在無意識情況下違反資料合規性法律。對於需要遵守資料保護法規（例如，GDPR）的組織來說，他們必須有能力追蹤和控制資料的處理和共用方式。當員工使用未經授權的工具來處理敏感性資料時，他們可能會無意中使其組織面臨違反這些法律的風險，這可能會導致嚴重的處罰和罰款。

組織如何偵測和修復影子 IT？

IT 團隊可以採取幾個步驟來盡量減少影子 IT 在其組織內的影響：

• 實作影子 IT 偵測。使用影子 IT 探索工具可以協助 IT 團隊探索、追蹤和分析員工目前正在使用的所有系統和服務——包括已核准和未核准的系統和服務。然後，IT 團隊可以建立原則，根據需要允許、限製或封鎖使用這些工具。
• 使用雲端存取安全性代理程式 (CASB) 或採用 SASE 架構。CASB（包含在 SASE 架構中）透過搭售的安全性技術，協助保護雲端託管應用程式和服務，這些技術包括影子 IT 探索、存取控制、資料丟失預防 (DLP)、瀏覽器隔離等。
• 加強對員工的風險管理培訓。員工可能沒有意識到影子 IT 的安全風險。對使用者進行最佳做法培訓：不使用個人電子郵件存取公司資源、公開任何未經批准的硬體和軟體使用情況、報告資料外洩等。這可以幫助避免資料洩露或被盜的可能性。
• 與員工就他們需要的工具進行溝通。員工通常知道什麼工具最適合他們的工作，但由於預算限製或其他顧慮，他們可能不願意請求 IT 部門的明確核准。開展此類對話並採取「無責」態度（對於那些可能已經採用影子 IT 的人）有助於培養更開放和更安全的工作環境。

什麼是影子 IT 原則？

影子 IT 原則有助於為組織內新硬體和軟體的採用、核准和管理確立協議。IT 部門建立這些原則，並可能根據不斷變化的安全性風險和公司需求對其進行調整。

影子 IT 原則是必須採取的步驟之一，有助於控制和管理組織內的系統和服務，同時避免引入任何未經批准的工具。然而，許多組織仍然沒有標準化的影子 IT 原則。在對 1000 名美國 IT 專業人士進行的調查中，Entrust 發現，37% 的受訪者表示他們的組織並沒有確立使用影子 IT 的明確後果。

Cloudflare 如何防範影子 IT？

Cloudflare 的 Zero Trust 安全性套件有助於 IT 部門輕鬆探索、編目和管理整個組織中未經批准的工具。詳細瞭解 Cloudflare 如何偵測影子 IT。

常見問題集

什麼是影子 IT？

影子 IT 指的是在組織內部，未經 IT 部門核准或監督即使用軟體、硬體或其他數位服務的行為。當員工使用未經許可的工具，或透過未經授權的方式存取已許可的工具時，就會發生這種情況。影子 IT 在 SaaS 應用程式的使用上尤其普遍。

為什麼員工通常會採用影子 IT？

大多數員工使用未經許可的工具是為了提高工作效率，或解決已許可工具無法因應的特定業務挑戰。在許多情況下，使用者並未意識到其中涉及的安全風險，不過，在較罕見的案例中，影子 IT 可能被用於資料竊取等惡意活動。

影子 IT 有哪些主要的安全風險？

影子 IT 為安全團隊帶來了重大的盲點，導致對資料流動的方式缺乏可見度與控制力。這會增加因雲端服務設定錯誤而導致資料外洩的風險，並可能導致組織在無意間違反資料合規相關法規。

雲端存取安全性代理程式 (CASB) 如何協助管理影子 IT？

CASB 提供一套旨在保護雲端託管服務的安全技術。它能協助 IT 團隊發現並分析組織內正在使用的未經許可應用程式，使他們能夠制定政策來允許、限制或封鎖這些工具，以防止資料遺失。

組織可以採取哪些措施來降低影子 IT 的影響？

組織可以透過使用探索工具來盤點未經許可的服務，並建立一種不相互指責的文化，讓員工能自在地提出他們所需的工具，藉此將風險降至最低。此外，風險管理培訓有助於員工瞭解為何使用個人帳戶或未經核准的硬體會使公司資料面臨風險。

影子 IT 政策的目的是什麼？

影子 IT 政策建立了明確的規範，說明新硬體和軟體的申請、核准及管理流程。這些政策有助於標準化安全做法，並確保公司內使用的每一項工具都符合必要的安全性和合規性要求。