Articol publicitar

ESET: Utilizarea echipamentelor neautorizate de tip hardware ┼či software de c─âtre angaja┼úi - o problem─â de securitate IT tipic─â ├«n era muncii hibride sau de la distan┼ú─â

0
0
ESET

Pandemia a determinat o mul┼úime de companii s─â prioritizeze desf─â┼čurarea ne├«ntrerupt─â a afacerii ┼či s─â plaseze securitatea cibernetic─â pe un plan secund.

├Änceputul acestei perioade a fost marcat de eforturile concentrate pe ducerea la bun sf├ór┼čit a sarcinilor, sprijinirea unei migr─âri rapide la sistemul de munc─â de la distan┼ú─â ┼či g─âsirea de c─âi noi de a ajunge la clien┼úi. Implicit, acest demers a venit odat─â cu sl─âbirea anumitor politici de securitate pentru a sprijini personalul pe m─âsur─â ce acesta a f─âcut ajust─âri majore ale stilului de lucru, o strategie cu siguran┼ú─â justificabil─â.┬á

├Än momentul prezent, ne situ─âm, ├«ns─â, ├«ntr-o alt─â etap─â a scenariului de lucru de la distan┼ú─â, unde devine tot mai popular sistemul hibrid, ce presupune un nivel total nou de procese IT, lipsit de transparen┼ú─â, de care echipele de securitate IT sunt acum responsabile. Riscurile┬á cibernetice prosper─â ├«n acest nou spa┼úiu de lucru, ÔÇ×din umbr─âÔÇŁ, aduc├ónd, astfel, mai multe probleme.

Astfel, utilizarea software-ului ┼či a echipamentelor ├«n afara limitelor impuse de departamentul IT de c─âtre angaja┼úi ar putea reprezenta o amenin┼úare demn─â de luat de serios, c├ót─â vreme nu este atent controlat─â. ├Äntrebarea este ce se poate face ├«n privin┼úa aceasta, atunci c├ónd p├ón─â ┼či amploarea problemei poate fi dificil de deslu┼čit.

Cum definim ÔÇ×shadow ITÔÇŁ?

Conceptul de shadow IT nu este deloc nou. ├Än linii mari, se refer─â la aplica┼úiile, software-urile sau echipamentele hardware folosite de angaja┼úi f─âr─â acordul ┼či controlul departamentului IT, dar include ┼či tehnologiile de nivel enterprise. De┼či de cele mai multe ori este vorba de utilizarea tehnologii de larg consum, ├«n unele cazuri pot fi chiar ┼či tehnologii de tip business, care sunt achizi┼úionate ┼či utilizate f─âr─â notificarea personalului IT. Indiferent de solu┼úiile ÔÇ×din umbr─âÔÇŁ folosite, acestea pot expune organiza┼úia la riscuri suplimentare.

În contextul shadow IT trebuie luate în calcul:

  • Mesajele ┼či e-mail-urile transmise pentru a fluidiza comunicarea at├ót cu contactele de la locul de munc─â, c├ót ┼či cu cele din afara serviciului.
  • Instrumentele de management de proiect ┼či de productivitate, care pot ┼či ele s─â ajute la colaborarea angaja┼úilor ├«ntre ei ┼či pot s─â stimuleze capacitatea de a ├«ndeplini sarcinile zilnice.
  • Stocarea de fi┼čiere, de tip consumer-grade, aleas─â deseori ad-hoc pentru a facilita colaborarea ├«ntre angaja┼úi.
  • Sistemele cloud de tip Infrastructure as a Service (IaaS) ┼či Platform as a Service (PaaS), care ar putea fi utilizate pentru a g─âzdui resurse neautorizate.
ESET

De ce are loc acest fenomen?

Atunci c├ónd angaja┼úii sunt nemul┼úumi┼úi de instrumentele IT business ineficiente, care, din punctul lor de vedere, ├«ngreuneaz─â productivitatea, apare de obicei shadow IT-ul. ├Än contextul pandemic, multe organiza┼úii au fost nevoite s─â permit─â utilizarea dispozitivelor personale ale angaja┼úilor s─âi, pentru ca ace┼čtia s─â poat─â lucra de acas─â. Astfel, s-a deschis calea pentru desc─ârc─ârile de aplica┼úii neautorizate.

Pe fondul metodei de a ÔÇ×rezolva mai repede lucrurileÔÇŁ, shadow IT este ├«nr─âut─â┼úit de faptul c─â managerii IT, ├«n┼či┼či, au fost for┼úa┼úi s─â suspende unele dintre politicile existente ├«nainte de pandemie, dar ┼či de faptul c─â mul┼úi angaja┼úi nu cunosc politica de securitate corporativ─â.┬á Conform unui studiu recent, 76% dintre echipele IT admit plasarea la nivel de management a securit─â┼úii pe plan secund ├«n favoarea continuit─â┼úii afacerii (├«n era Covid-19), ├«n timp ce 91% confirm─â c─â s-a impulsionat implementarea unor modific─âri ├«n fluxurile de lucru ce au avut ca efect direct sl─âbirea securit─â┼úii.

Pandemia a ├«ncurajat, a┼čadar, o folosire mai intens─â a practicilor shadow IT, pentru c─â echipele IT erau mai pu┼úin vizibile fizic pentru angaja┼úi. ├Än acela┼či timp, aceast─â con┼čtientizare redus─â ├«n r├óndul angaja┼úilor a prezen┼úei departamentului IT i-a f─âcut pe ace┼čtia mai predispu┼či s─â nu se supun─â politicilor oficiale ┼či a ├«ngreunat procesul prin care utilizatorii verificau cu responsabilii IT noile instrumente de lucru alese, ├«nainte de folosire.┬á┬á

Cercet─âri recente arat─â c─â, la nivel mondial, 66% dintre cei care lucreaz─â la distan┼ú─â au recunoscut c─â au ├«nc─ârcat date ale companiei ├«ntr-o aplica┼úie sau echipament care nu este destinat efectiv pentru mediul business, iar peste jum─âtate (56%) au declarat c─â au folosit ├«n mod frecvent o astfel de aplica┼úie. Aproape o treime (29%) au m─ârturisit c─â au considerat c─â utilizarea unei aplica┼úii care nu este strict conceput─â pentru lucru ├«n mediul business poate trece nedetectat─â ┼či c─â au ales aceast─â variant─â pentru c─â solu┼úiile oferite de departamentul IT au fost mult prea complicate sau chiar ÔÇ×absurdeÔÇŁ.

Amploarea problemei

Riscurile aduse de shadow IT pot fi asociate, ├«n parte, echipamentelor personale folosite ├«n scenarii de lucru de tip BYOD (bring your own device) ├«ns─â, ├«n realitate, exist─â mai multe aspecte ce trebuie discutate. O alt─â amenin┼úare vine din partea anumitor unit─â┼úi business specifice, ce g─âzduiesc resurse ├«n cloud-ul corporativ IaaS sau PaaS. Problemele la acest nivel se datoreaz─â faptului c─â mul┼úi ├«n┼úeleg gre┼čit natura modelului de responsabilitate comun─â ├«n cloud ┼či presupun c─â furnizorul de servicii cloud (CSP) este autoritatea responsabil─â de securitate. Organiza┼úiei client i se atribuie, de fapt, securizarea aplica┼úiilor ┼či a datelor.

Natura fenomenului face ca ├«n┼úelegerea dimensiunii reale a problemei s─â fie ┼či mai dificil─â. 64% dintre angaja┼úii din SUA ┼či-au creat cel pu┼úin un cont online f─âr─â a ├«n┼čtiin┼úa departamentul IT, arat─â un studiu din 2019. Alte date indic─â c─â folosirea unor instrumente neaprobate de departamentul tehnic era deja o practic─â comun─â ├«n r├óndul angaja┼úilor care lucrau remote de dinainte de pandemie (65%), ├«n vreme ce 40% dintre angaja┼úii actuali folosesc solu┼úii de comunicare ┼či colaborare ÔÇ×├«n umbr─âÔÇŁ. Acela┼či studiu arat─â c─â v├órsta are un cuv├ónt de spus ├«n tendin┼úa de folosire a practicilor shadow IT: genera┼úia Millennials e mai predispus─â cu 54% s─â fac─â apel la astfel de practici, pe c├ónd Baby Boomers ├«nregistreaz─â un procent de doar 15%.

De ce reprezintă shadow IT o ameninţare?

Poten┼úialul risc care se resfr├ónge asupra companiei pe seama practicilor shadow IT e unul real. S─â lu─âm ca referin┼ú─â un caz de anul trecut, ├«n care o companie de identificare a contactelor din SUA ar fi expus datele a 70.000 de persoane, dup─â ce angaja┼úii au folosit conturi Google pentru a partaja informa┼úii ca parte a unui ÔÇ×canal de colaborare neautorizatÔÇŁ.

Iată un scurt rezumat al riscului potenţial al shadow IT-ului pentru companii:

  • Nu exist─â un control IT  - utilizatorii ┼či datele companiei sunt expuse la atacuri dac─â software-ul r─âm├óne f─âr─â patch-uri aplicate sau este configurat gre┼čit (de exemplu, cu parole slabe)
  • Nu sunt utilizate deseori solu┼úii anti-malware de tip business sau alte solu┼úii de securitate care s─â protejeze activele sau re┼úelele de tip shadow IT
  • Nu este disponibil─â op┼úiunea de a controla scurgerile sau partajarea accidental─â/inten┼úionat─â a datelor
  • Provoc─âri mari referitoare la normele de conformitate ┼či audit
  • Expunerea la pierderi de date, ├«ntruc├ót procesele de backup nu sunt extinse ┼či la aplica┼úiile ┼či datele shadow IT
  • Daune financiare ┼či de reputa┼úie, consecin┼ú─â direct─â a unei poten┼úiale bre┼če grave a securit─â┼úii datelor (cu caracter personal ┼či nu numai)

Cum trebuie abordat shadow IT

Un prim pas esen┼úial este ├«n┼úelegerea scalei poten┼úiale a amenin┼ú─ârii. Departamentele IT trebuie s─â con┼čtientizeze r─âsp├óndirea fenomenului ┼či s─â nu subestimeze riscurile pe care le aduce. Lua┼úi ├«n considerare urm─âtoarele m─âsuri ce pot atenua riscurile aduse de shadow IT:

  • Elabora┼úi o politic─â extensiv─â pentru a face fa┼ú─â fenomenului, incluz├ónd o list─â cu software-uri ┼či hardware-uri (aprobate ┼či neaprobate) ┼či o procedur─â necesar─â pentru ob┼úinerea unei aprob─âri de utilizare, comunicat─â c├ót mai clar
  • Asculta┼úi ┼či adapta┼úi politicile legate de instrumentele folosite - alege┼úi, pe baza feedback-ului angaja┼úilor, ce func┼úioneaz─â ┼či ce nu. Poate fi momentul oportun pentru aducerea la zi a politicilor ├«n aceast─â nou─â er─â de lucru ├«n sistem hibrid, ├«n care este important un echilibru c├ót mai bun ├«ntre securitatea ┼či confortul muncii de acas─â
  • ├Äncuraja┼úi transparen┼úa ├«n r├óndul angaja┼úilor, instruindu-i cu privire la impactul poten┼úial al acestui fenomen, cu accent pe un dialog sincer ├«n ambele sensuri
  • Folosi┼úi instrumente de monitorizare pentru a depista utilizarea shadow IT ├«n companie sau a oric─ârei activit─â┼úi riscante ┼či lua┼úi m─âsurile adecvate fa┼ú─â de atacatorii persisten┼úi

Shadow IT extinde suprafa┼úa de atac la nivel corporativ ┼či spore┼čte riscurile cibernetice. Instrumentele ┼či politicile actuale sunt adesea considerate excesiv de restrictive, duc├ónd la cre┼čterea dimensiunii fenomenului. Ca primi pa┼či, echipele IT vor trebui s─â-┼či adapteze propria cultur─â pentru a se apropia c├ót mai mult de for┼úa de lucru din companii.

ESET, un lider global pe pia┼úa de solu┼úii de securitate cibernetic─â, cu peste 30 de ani de experien┼ú─â ┼či inova┼úie, ofer─â o palet─â de solu┼úii antivirus ┼či antimalware, cu protec┼úie multi-strat integrat─â, care pot depista din timp atacuri tip ransomware, evit├ónd astfel daune la nivelul resurselor ┼či reputa┼úiei companiei.┬á

Pachetele sale vin cu protec┼úie integrat─â pe mai multe niveluri ┼či au capacitatea de a depista atacurile de tip ransomware timpuriu, ca s─â fie evitate daunele la nivel de resurse ┼či reputa┼úie.┬á

ESET PROTECT Advanced este un pachet de solu┼úii antivirus si anti-malware destinat companiilor┬á ┼či ofer─â, prin layer-ul ESET Dynamic Threat Defense, protec┼úie de tip cloud-sandbox pentru sisteme (├«mpotriva ransomware-ului ┼či amenin┼ú─ârilor de tip zero-day) dar ┼či protec┼úie dedicat─â a datelor la acces neautorizat ├«n caz de furt sau pierdere echipamente (prin criptarea complet─â a hard disk-urilor - pentru datele stocate pe laptopuri). Astfel, produsul face fa┼ú─â cu succes provoc─ârii de a proteja ┼či gestiona re┼úelele IT business ├«n cazul amenin┼ú─ârilor cibernetice tot mai dinamice.┬á

Solu┼úia se poate testa gratuit de c─âtre orice companie, f─âr─â obliga┼úii ulterioare. Pute┼úi g─âsi mai multe detalii despre aceasta ┼či pute┼úi desc─ârca o variant─â de test aici.┬á

ESET


Ultima or─â

adevarul de weekend jpeg anunt adevarul jpeg

Cele mai citite