Varjo-IT: muuta löydökset vastuulliseksi omistajuudeksi

Tiimi ottaa työkalun käyttöön, koska se ratkaisee todellisen ongelman. Tietoturvaongelma alkaa, kun organisaation luettelot, sopimukset ja käyttöoikeusprosessit eivät heijasta tätä käyttöä. Sovelluksesta voi tulla liiketoimintaprosessille välttämätön ennen kuin kukaan on päättänyt, kuka sitä hallinnoi, mitä tietoja siinä saa olla tai miten siitä luovutaan.

Varjo-IT kattaa palvelut, sovellukset ja laitteet, joita käytetään vakiintuneiden hyväksyntä- tai hallintaprosessien ulkopuolella. Löydösten tulee johtaa oikeasuhteiseen päätökseen ja nimettyyn omistajaan, ei pelkästään pidempään luetteloon epäilyttäviä verkkotunnuksia.

Teknologiajohtajalle (CTO) tavoite on operatiivinen: ymmärtää riippuvuus, rajata ei-hyväksyttävä riski ja tarjota liiketoiminnalle toimiva reitti hallittuun teknologiaan.

Määritä raja ennen signaalien keräämistä

Varjo-IT on hallinnollinen tila, ei luontaisesti vaarallisten tuotteiden luokka. Hyvämaineinen yhteistyöpalvelu voi olla hallitsematon, kun työntekijät luovat henkilökohtaisia työtiloja. Henkilökohtainen kannettava voi olla oikeutettu hallitun oman laitteen käyttöä koskevan järjestelyn puitteissa. Toisaalta ostettukin palvelu voi olla tehokkaan hallinnan ulkopuolella, jos kukaan ei hallitse sen ylläpitäjiä tai käyttäjien poistamista.

Katso tuntemattomien ohjelmistonimien taakse. Merkityksellisiä esimerkkejä ovat:

• Henkilökohtaiset pilvitallennuspalvelut, viestintätilit ja salasanojen hallintaohjelmat, joita käytetään yrityksen tietoihin.
• Selainlaajennukset, tekoälypohjaiset kokousavustajat ja litterointipalvelut, joilla on pääsy yrityksen sisältöihin.
• Kolmannen osapuolen sovellukset, jotka on yhdistetty sähköpostiin, kalentereihin, koodivarastoihin tai tiedostotallennukseen OAuthin kautta.
• Hallitsemattomat kannettavat tietokoneet, siirrettävät tallennusvälineet, verkkolaitteet ja etäkäyttötyökalut.
• Tiimien omistamat pilvitilit, low-code-sovellukset ja automaatioskriptit, jotka tukevat tuotannon työnkulkuja.

Myös hyväksytyille sovelluksille voi kehittyä hallitsemattomia käyttötapoja. Uusi integraatio, julkisen jakamisen asetus tai tekoälyominaisuus voi muuttaa alkuperäistä riskiarviota ilman, että tuotteen nimi muuttuu.

Aloita yhdestä liiketoimintaprosessista tai osastosta. Määritä, mitkä tilit, päätelaitteet, verkot, toimittajat ja tietovirrat kuuluvat ensimmäiseen katselmointiin. Näin havainnoista tulee toimeenpantavia, ja menetelmän puutteet paljastuvat ennen koko organisaation kattavaa keräämistä.

Muodosta kokonaiskuva useista lähteistä

Mikään yksittäinen lähde ei näytä jokaista työkalua. Identiteettikirjauksista puuttuvat paikalliset tilit, kulukirjauksista ilmaiset palvelut, ja verkkolokit voivat näyttää kohteen selittämättä, mitä tietoja sinne meni.

Käytä toisiaan täydentäviä lähteitä ja säilytä kunkin havainnon alkuperätiedot.

Kerro, miksi kartoitus tehdään, mitä kerätään, kuka voi tarkastella tietoja ja kuinka kauan niitä säilytetään. Noudata sovellettavia tietosuoja- ja työoikeudellisia sääntöjä. Suosi metatietoja, jotka riittävät palvelun ja sen käyttöoikeuksien tunnistamiseen, viestien sisältöjen, tallenteiden tai henkilökohtaisen selaussisällön keräämisen sijaan. Rajaa pääsy myös itse kartoituskirjauksiin.

Kysy tiimeiltä käytännön kysymyksiä: missä jaatte suuria tiedostoja, tallennatte kokouksia, käännätte asiakirjoja, keräätte asiakaspalautetta tai automatisoitte toistuvia tehtäviä? Kysy, mitkä työkalut keskeyttäisivät työn, jos ne poistettaisiin huomenna. Nämä kysymykset paljastavat riippuvuuksia, joita verkkotunnusluettelo ei paljasta.

Yhdenmukaista havainnot ennen niiden laskemista. Toimittajalla voi olla useita verkkotunnuksia, tuotteita, työtiloja ja laskutusyksiköitä. Erota tuotteen identiteetti tenantin identiteetistä ja erottele näyttö asennuksesta, valtuutuksesta, kirjautumisesta ja vahvistetusta liiketoimintakäytöstä. Kirjaa epävarmat havainnot ehdokkaiksi sen sijaan, että julistaisit jokaisen havaitun kohteen luvattomaksi sovellukseksi.

Muuta jokainen havainto omistajuuskirjaukseksi

Hyödyllinen rekisteri kuvaa käyttöä, ei pelkästään toimittajaa. Kahdella samaa tuotetta käyttävällä tiimillä voi olla eri tiedot, käyttöoikeudet, sopimukset ja seuraukset.

Kirjaa jokaisesta vahvistetusta käytöstä:

• Tuote, toimittaja, tenantin tai työtilan tunniste ja havainnon lähde.
• Liiketoiminnallinen tarkoitus, riippuvainen prosessi, käyttäjäjoukko ja kriittisyys.
• Tietoryhmät, tietolähteet, kohteet, jakamisasetukset ja säilytys.
• Tilityypit, ylläpitäjät, todentaminen, integraatiot ja myönnetyt käyttöoikeudet.
• Sopimuksen haltija, tilaustaso, uusimistiedot ja asiaankuuluvat käsittelyjärjestelyt.
• Liiketoiminnan omistaja, tekninen ylläpitäjä, tarkastaja, ehdotettu käsittely ja katselmointipäivä.

Liiketoiminnan omistaja perustelee tarpeen ja koordinoi hyväksyttävää käyttöä. Tekninen ylläpitäjä hallinnoi konfiguraatiota, käyttöoikeuksia, integraatioita ja käytöstä poistamista. Tietoturva arvioi riskin; hankinnan ja tietosuojan asiantuntijat arvioivat omaan toimivaltaansa kuuluvat asiat. Pienessä organisaatiossa nämä vastuut voivat olla samalla henkilöllä, mutta niiden on pysyttävä näkyvinä.

Jos kukaan ei ota palvelua omistukseensa, älä luokittele sitä hyväksytyksi vain siksi, että käyttäjät pitävät siitä. Nimeä väliaikainen vastuullinen sponsori ja päätöksen määräaika. Kirjaa, mikä on yhä tuntematonta ja kuka sen selvittää.

Seuraa sovelluksen lisäksi tietoja. Työkalu voi vastaanottaa latauksia, synkronoida kokonaisia kansioita, luoda litterointeja tai lähettää sisältöä toiselle palveluntarjoajalle. Tietojen kartoitusta käsittelevä oppaamme selittää, miten nämä suhteet jäljitetään.

Tarkastele OAuth-käyttöoikeuksia erillään sovelluksen käytöstä

OAuthin avulla sovellus voi saada valtuutetun pääsyn saamatta käyttäjän salasanaa. Tämä on hyödyllistä, mutta valtuutus voi olla laajempi tai pitkäkestoisempi kuin tehtävä edellyttää. Sovellukseen kirjautuminen ja sen valtuuttaminen käyttämään yrityksen resursseja ovat eri tapahtumia.

Tarkista jokaisen yhdistetyn sovelluksen osalta julkaisijan tai asiakassovelluksen identiteetti, valtuutuksen myöntänyt käyttäjä, resurssi, käyttöoikeuslaajuudet (scopes), suostumustyyppi ja myöntämispäivä, jos ne ovat saatavilla. Erota käyttäjän puolesta käytettävä delegoitu pääsy sovellusoikeuksista, jotka voivat toimia ilman vuorovaikutteista käyttäjää. Tarkastele päivitystunnisteiden (refresh token) käyttäytymistä ja sitä, voiko valtuutus jatkua sen jälkeen, kun käyttäjä on lakannut aktiivisesti käyttämästä työkalua.

Priorisoi valtuutukset, jotka sallivat postilaatikon lukemisen, tiedostojen muokkaamisen, hakemiston käytön, koodivarastojen muutokset tai laajan pääsyn useiden käyttäjien tietoihin. Tarkista, vastaavatko pyydetyt laajuudet ilmoitettua tarkoitusta. Aikataulutustyökalu, joka pyytää pääsyä kalenteriin, herättää eri kysymyksen kuin työkalu, joka pyytää postilaatikon sisältöä ja rajoittamatonta pääsyä tiedostoihin.

Käytännön hallintakeinona rajoita suuren vaikutuksen suostumukset ylläpitäjille tai tarkastustyönkulkuun, jos alusta tukee sitä. Katselmoi uudet myönnetyt käyttöoikeudet ja olemassa olevien sovellusten muutokset, ei pelkästään uusia sovellusrekisteröintejä.

Selainlaajennuksen poistaminen tai käyttäjälle näkyvän integraation katkaiseminen ei välttämättä poista jokaista valtuutusta, tunnistetta tai ulkoista tietojen kopiota. Varmista peruutus resurssialustalla ja toimittajan tilillä. Salattu tiedonsiirto ei todista integraation olevan turvallinen, eikä se tee kaikkea tarkastelua mahdottomaksi; näkyvyys riippuu käytettävissä olevista hallintakeinoista ja telemetriasta.

Priorisoi riskialttiuden ja liiketoimintariippuvuuden mukaan

Käytä luokittelua sen päättämiseen, mikä vaatii huomiota ensin. Älä käsittele jokaista hyväksymätöntä työkalua yhtä kiireellisenä.

Arvioi kyseessä olevien tietojen arkaluonteisuus ja määrä, käyttöoikeuksien laajuus, ulkoinen jakaminen, laitteiden tietoturvatila, hallinnollinen kontrolli ja merkit vaarantumisesta. Ota huomioon myös saatavuus: dokumentoimaton automaatio voi olla ainoa reitti tilausten lähettämiseen toimittajalle.

Julkinen suunnittelun viitetyökalu, jota käytetään ilman latauksia, voi vaatia vain kevyen rekisteröinnin. Tekoälypohjainen kokousavustaja, jolla on pääsy kalenteriin, tallenteisiin ja asiakaskeskusteluihin, vaatii perusteellisemman arvion käyttöoikeuksista, tallennuksesta, säilytyksestä ja jatkokäsittelystä. Hallitsematon etäkäyttöpalvelu tuotantojärjestelmässä edellyttää nopeaa rajaamista ja tutkintaa.

Kirjaa täsmällinen riskiskenaario, ei ”varjo-IT-riskiä”. Esimerkiksi: ”Entinen työntekijä säilyttää työtilan ylläpito-oikeudet ja voi viedä asiakastarjouksia.” Tämä toteamus osoittaa kohti omistajaa, hallintakeinon muutosta ja testiä.

Löydös ei automaattisesti ole todiste tietoturvaloukkauksesta. Jos havainnot viittaavat luvattomaan tietojen paljastumiseen tai vaarantumiseen, siirry poikkeamaprosessiin ja säilytä asiaankuuluvat lokit. Jos kyse on henkilötiedoista, ilmoitusvelvollisuuden arviointi riippuu olosuhteista ja organisaation roolista yleisen tietosuoja-asetuksen (GDPR) 33 ja 34 artiklan mukaisesti, eikä pelkästään siitä, oliko työkalu hyväksytty.

Valitse käsittely, joka säilyttää liiketoiminnan tarpeen

Jokainen päätös tarvitsee omistajan, perustelut, valmistumiskriteerit ja seurannan. Käytännössä hyödyllisiä käsittelytapoja on neljä.

Hyväksy ja ota hallintaan

Hyväksynnän tulee kuvata sallittu käyttö, ei antaa rajoittamatonta lupaa tuotteen käyttöön. Ota käyttöön yrityksen hallitsema ylläpito, sopiva todentaminen, vähimpien oikeuksien periaate, uusien, tehtävää vaihtavien ja lähtevien työntekijöiden käsittely sekä tuettu konfiguraatio. Tarkista lokitus, jakamisrajoitukset, palautus- tai vientimahdollisuudet ja säilytys käyttötapausta vasten.

Arvioi tarvittaessa toimittaja ja sopimus. Jos toimittaja käsittelee henkilötietoja organisaation puolesta, arvioi vaaditut käsittelijäjärjestelyt yleisen tietosuoja-asetuksen 28 artiklan mukaisesti. Kansainvälisiä siirtoja koskevat järjestelyt edellyttävät erillistä arviointia; valittu ylläpitoalue ei ratkaise kaikkia kysymyksiä. Artiklan 32 mukaiset turvatoimet ovat riskiperusteisia, eivät yleinen tarkistuslista, joka täyttyy yhdellä asetuksella.

Säilytä hyväksynnän näyttö: konfiguraatioviennit, ylläpitäjien nimeämiset, käyttöoikeustestit, sopimuskatselmointi ja hyväksytty jäännösriski.

Korvaa sopivalla vaihtoehdolla

Korvaaminen toimii vain, jos vaihtoehto täyttää todellisen tarpeen. Testaa tiedostokokorajoitukset, ulkoinen yhteistyö, saavutettavuus, automaatio ja tarvittavat integraatiot ennen siirtymän määräämistä.

Määritä siirtymän järjestys, täsmäytä tietueet ja varmista, että käyttäjät pystyvät suorittamaan työnkulun. Säilytä vaaditut tietueet ja asiaankuuluvat metatiedot. Tarkista jaetut linkit ja integraatiot käyttöönoton jälkeen ja sulje sitten vanha tenantti sen sijaan, että vain lopettaisit maksamisen.

Poista perusteeton käyttö

Jos työkalulla ei ole perusteltavissa olevaa tarkoitusta tai sen riski on ei-hyväksyttävä, pysäytä uusi käyttö ja suunnittele poistaminen. Peruuta valtuutukset ja tunnisteet, poista laajennukset tai ohjelmistot, poista tilit käytöstä, sulje jakolinkit ja käsittele jo viedyt tiedot. Vaihda paljastuneet tunnistetiedot, jos havainnot sitä edellyttävät.

Tilin poistaminen ei ole todiste siitä, että kaikki toimittajan hallussa olevat tiedot ovat kadonneet. Hanki saatavilla oleva näyttö poistamisesta ja dokumentoi sopimukseen perustuva säilytys, varmuuskopiot tai muut rajoitukset. Säilytä tiedot, joihin kohdistuu säilytysvelvoite tai oikeudellinen säilytysvelvollisuus.

Salli hallittu, väliaikainen poikkeus

Liiketoimintakriittinen työkalu voi tarvita siirtymäajan. Määritä sallitut käyttäjät ja tiedot, korvaavat hallintakeinot, vastuullinen riskin hyväksyjä, päättymispäivä ja irtautumisehdot. Rajoita jatkolaajentumista, jos se on käytännössä mahdollista. Pysyvä ”väliaikainen” poikkeus ilman katselmointia on ratkaisematon hallinnollinen puute.

Esimerkki: tekoälypohjainen kokousavustaja

Tarkastellaan kuvitteellista organisaatiota, joka katselmoi myyntiprosessiaan. Oletetaan, että kahdeksan työntekijää käyttää ilmaista kokousavustajaa henkilökohtaisilla tileillä. Haastattelut vahvistavat, että se tallentaa asiakaspuheluja; identiteettivienti näyttää kalenterivaltuutukset. Hankintakirjausta ei ole, ja myyntipäällikkö luottaa litterointeihin asiakkuuksien luovutuksissa.

Ensimmäinen päätös on keskeyttää uudet tallennukset ja käyttäjät, kunnes on selvitetty, mitä on tallennettu. Tietoturva kirjaa valtuutukset ja tilien identiteetit. Päällikkö yksilöi kyseiset kokoukset ja operatiivisen tarpeen. Tietosuoja ja hankinta arvioivat käsittelyjärjestelyt, osallistujille annettavat tiedot, toimittajan ehdot, säilytyksen ja mahdolliset asiaankuuluvat siirtojärjestelyt. Tiimi tarkistaa myös, ovatko tallenteet tai litteroinnit julkisesti saatavilla ja käyttääkö palvelu sisältöä muihin tarkoituksiin.

Oletetaan, että katselmoinnissa havaitaan, ettei ilmainen versio pysty tarjoamaan yrityksen hallitsemaa ylläpitoa tai vaadittuja säilytysasetuksia. Päätös on korvaaminen, ei luovutusprosessista luopuminen. Myynti testaa hyväksyttyä vaihtoehtoa, jossa on sopivat käyttöoikeus- ja tallennuskontrollit, samalla kun tekninen ylläpitäjä peruuttaa vanhat kalenterivaltuutukset ja siirtää sallitut tietueet.

Sulkemisen näyttöön kuuluvat luettelo kyseisistä tileistä, korvaavan ratkaisun konfiguraatio, valtuutusten peruutuksen tulokset, vanhojen jakolinkkien tarkistukset ja saatavilla olevat poistovahvistukset. Mahdollinen ratkaisematon varmuuskopioiden säilytykseen liittyvä rajoitus jää kirjatuksi. Myyntipäällikkö omistaa hyväksyttävän käytön; IT omistaa konfiguraation ja käyttäjien poistamisen. Katselmointi päättyy hallittuun prosessiin, ei pelkästään estettyyn sovellukseen.

Estä seuraava katvealue käyttökelpoisella vastaanottoprosessilla

Tiimit ottavat työkaluja usein käyttöön ohittaakseen hitaat hyväksynnät, puuttuvat ominaisuudet tai nykyisten järjestelmien kitkan. Kartoituksen tulee tunnistaa nämä syyt. Muuten poistaminen vain siirtää saman toiminnan vähemmän näkyvään paikkaan.

Tee pyyntöjen jättämisestä helppoa. Kysy tarkoitusta, käyttäjiä, tietoryhmiä, integraatioita, kiireellisyyttä ja liiketoiminnan omistajaa. Julkaise kriteerit, jotka käynnistävät perusteellisemman arvioinnin, ja tarjoa käytännöllinen reitti vähäriskisille kokeiluille. Kerro pyytäjille tilanne ja odotettu päätösajankohta; älä jätä pyyntöjä selittämättömään jonoon.

Opeta konkreettisia toimintatapoja: kysy ennen kuin yhdistät palvelun yrityksen sähköpostiin, vältä asiakastietojen lataamista arvioimattomaan työkaluun ja ilmoita olemassa olevasta työtilasta ennen sen uusimista. Anna tiimeille ilmoitusreitti, joka keskittyy puutteiden korjaamiseen eikä hyvässä uskossa tehtyjen ilmoitusten rankaisemiseen.

Jatka muutosten seurantaa hyväksynnän jälkeen. Katselmoi uudet OAuth-valtuutukset, hallinnolliset muutokset, ulkoinen jakaminen, uudet käyttöön otetut tekoälyominaisuudet ja laajentuminen arkaluonteisempiin tietoihin. Käytännön suosituksena yhdistä tapahtumiin perustuvat tarkistukset omistajien säännöllisiin vahvistuksiin. Katselmointitiheyden tulee heijastaa riskialttiutta ja liiketoimintakriittisyyttä, ei yleistä aikaväliä.

Tee näytöstä hyödyllistä ISMS:lle

ISO/IEC 27001 koskee rajattua tietoturvallisuuden hallintajärjestelmää. Varjo-IT-havainnot voivat tukea omaisuuden hallintaa, toimittaja-arviointia, pääsynhallintaa, riskiarviointia ja riskien käsittelyä. Hallintakeinojen valinta perustuu edelleen riskeihin; sovellusluettelo ei ole ISMS eikä todiste hallintakeinojen toiminnasta.

Pidä kartoituksen soveltamisala, arviointi, käsittelypäätös, toteutuksen näyttö ja vaikuttavuuden tarkistus erillään. Suljettu tiketti, jossa lukee ”poistettu”, on heikompaa näyttöä kuin peruttu käyttöoikeus ja testattu tulos. Riskin hyväksynnässä tulee yksilöidä, kenellä oli valtuudet hyväksyä se ja milloin se on arvioitava uudelleen. Sertifiointi ei sellaisenaan osoita GDPR:n noudattamista.

Secani tarjoaa yhtenäisen työtilan järjestelmien ja palvelujen mallintamiseen, näytön yhdistämiseen vaatimuksiin ja päätöksiin sekä omistajien ja katselmointitehtävien nimeämiseen. Pidä kartoitus ja toimeenpano asianmukaisissa operatiivisissa järjestelmissä ja tuo sitten asiaankuuluvat viennit, katselmoinnit ja hyväksynnät tähän vaatimustenmukaisuuden kontekstiin. Käsittele tekoälyavusteisia ehdotuksia luonnoksina, jotka edellyttävät ihmisen tarkastusta, ja säilytä lähteiden jäljitettävyys.

Valitse seuraavaa katselmointia varten yksi liiketoimintaprosessi ja täsmäytä sen identiteetti-, kulu-, päätelaite- ja haastatteluhavainnot. Päätä jokainen vahvistettu havainto nimettyyn omistajaan, käsittelyyn, määräaikaan ja sulkemistestiin. Hyödyllisiä mittareita ovat omistajuuden kattavuus, myöhässä olevat päätökset, päättymässä olevat poikkeukset ja suoritetut käyttöoikeuksien poiston tarkistukset, ei pelkästään löydettyjen työkalujen määrä.