Árnyék-IT: a feltárástól az elszámoltatható felelősségig

Egy csapat azért vezet be egy eszközt, mert az valódi problémát old meg. A biztonsági probléma akkor kezdődik, amikor a szervezet leltára, szerződései és hozzáférési folyamatai nem tükrözik ezt a használatot. Egy alkalmazás nélkülözhetetlenné válhat egy üzleti folyamat számára, mielőtt bárki eldöntené, ki adminisztrálja, milyen adatokat tárolhat, vagy hogyan kell kivezetni.

Az árnyék-IT olyan szolgáltatásokat, alkalmazásokat és eszközöket foglal magában, amelyeket a bevett jóváhagyási vagy irányítási folyamatokon kívül használnak. A feltárásnak arányos döntéshez és egy megnevezett gazdához kell vezetnie, nem csupán a gyanús domainek egyre hosszabb listájához.

Egy technológiai igazgató számára a cél operatív: megérteni a függőséget, korlátozni az elfogadhatatlan kitettséget, és járható utat adni az üzletnek a felügyelt technológia felé.

Határozza meg a határt, mielőtt jeleket gyűjtene

Az árnyék-IT irányítási állapot, nem pedig eleve nem biztonságos termékek kategóriája. Egy megbízható együttműködési szolgáltatás is felügyeletlen lehet, ha a munkavállalók személyes munkaterületeket hoznak létre. Egy személyes laptop is legitim lehet egy ellenőrzött saját eszköz használatára vonatkozó megoldás keretében. Fordítva: egy megvásárolt szolgáltatás is kívül eshet a tényleges irányításon, ha senki sem ellenőrzi az adminisztrátorait vagy a kiléptetést.

Ne csak az ismeretlen szoftverneveket figyelje. Releváns példák:

• Céges információkhoz használt személyes felhőtárhelyek, üzenetküldő fiókok és jelszókezelők.
• Böngészőbővítmények, MI-alapú értekezlet-asszisztensek és átiratkészítő szolgáltatások, amelyek hozzáférnek a vállalati tartalmakhoz.
• OAuth-on keresztül e-mailhez, naptárakhoz, tárolókhoz vagy fájltárhelyekhez csatlakoztatott harmadik féltől származó alkalmazások.
• Felügyeletlen laptopok, cserélhető adathordozók, hálózati eszközök és távelérési segédprogramok.
• Csapatok saját felhőfiókjai, low-code alkalmazások és automatizálási szkriptek, amelyek éles munkafolyamatokat támogatnak.

A jóváhagyott alkalmazásoknak is lehetnek felügyeletlen felhasználási módjai. Egy új integráció, egy nyilvános megosztási beállítás vagy egy MI-funkció megváltoztathatja az eredeti kockázatértékelést anélkül, hogy a termék neve változna.

Kezdje egy üzleti folyamattal vagy részleggel. Határozza meg, mely fiókok, végpontok, hálózatok, beszállítók és adatfolyamok tartoznak az első felülvizsgálathoz. Ez cselekvésre alkalmassá teszi a megállapításokat, és még a szervezeti szintű adatgyűjtés megkezdése előtt felszínre hozza a módszer hiányosságait.

Rakja össze a képet több forrásból

Egyetlen feltárási forrás sem mutat meg minden eszközt. Az identitásnyilvántartásokból hiányoznak a helyi fiókok; a költési nyilvántartásokból az ingyenes szolgáltatások; a hálózati naplók mutathatnak egy célállomást anélkül, hogy megmagyaráznák, milyen információ jutott oda.

Használjon egymást kiegészítő forrásokat, és őrizze meg minden megállapítás eredetét.

Magyarázza el, miért történik a feltárás, mit gyűjtenek, ki tekintheti meg, és meddig őrzik meg. Kövesse az alkalmazandó adatvédelmi és munkajogi szabályokat. Részesítse előnyben azokat a metaadatokat, amelyek elegendők a szolgáltatás és a hozzáférése azonosításához, ahelyett hogy üzenettartalmakat, felvételeket vagy személyes böngészési tartalmakat gyűjtene. Magukhoz a feltárási nyilvántartásokhoz is korlátozza a hozzáférést.

Tegyen fel gyakorlati kérdéseket a csapatoknak: hol osztanak meg nagy fájlokat, hol rögzítik az értekezleteket, mivel fordítanak dokumentumokat, hol gyűjtenek ügyfél-visszajelzéseket, vagy mivel automatizálják az ismétlődő feladatokat? Kérdezze meg, mely eszközök eltávolítása akasztaná meg a munkát már holnap. Ezek a kérdések olyan függőségeket tárnak fel, amelyeket egy domainlista nem.

A megállapításokat a számlálás előtt egységesítse. Egy szállítónak több domainje, terméke, munkaterülete és számlázási egysége lehet. Válassza külön a termék azonosítását a bérlő azonosításától, és különböztesse meg a telepítés, az engedélyezés, a bejelentkezés és a megerősített üzleti használat bizonyítékait. A bizonytalan megállapításokat jelöltként rögzítse, ahelyett hogy minden megfigyelt célállomást jogosulatlan alkalmazásnak nyilvánítana.

Minden megállapításból legyen felelősségi nyilvántartás

Egy hasznos nyilvántartás a használatot írja le, nem csak a szállítót. Két csapat, amely ugyanazt a terméket használja, eltérő adatokkal, hozzáférésekkel, szerződésekkel és következményekkel rendelkezhet.

Minden megerősített használatnál rögzítse:

• A terméket, a beszállítót, a bérlő vagy munkaterület azonosítóját és a feltárás forrását.
• Az üzleti célt, a függő folyamatot, a felhasználói kört és a kritikusságot.
• Az adatkategóriákat, az adatforrásokat, a célállomásokat, a megosztási beállításokat és a megőrzést.
• A fióktípusokat, az adminisztrátorokat, a hitelesítést, az integrációkat és a megadott jogosultságokat.
• A szerződés jogosultját, az előfizetési csomagot, a megújítás részleteit és a releváns adatkezelési megállapodásokat.
• Az üzleti gazdát, a műszaki gondnokot, az ellenőrt, a javasolt kezelést és a felülvizsgálat dátumát.

Az üzleti gazda indokolja az igényt, és koordinálja az elfogadható használatot. A műszaki gondnok kezeli a konfigurációt, a hozzáférést, az integrációkat és a kivezetést. A biztonsági terület értékeli a kockázatot; a beszerzési és adatvédelmi szakértők a hatáskörükbe tartozó kérdéseket vizsgálják át. Egy kis szervezetben ezek a felelősségek ugyanannál a személynél is lehetnek, de egyértelműnek kell maradniuk.

Ha egy szolgáltatásnak senki sem lesz a gazdája, ne minősítse jóváhagyottnak csak azért, mert a felhasználók szeretik. Jelöljön ki egy ideiglenes elszámoltatható szponzort és egy döntési határidőt. Rögzítse, mi marad ismeretlen, és ki fogja tisztázni.

Az alkalmazás mellett az adatokat is kövesse. Egy eszköz fogadhat feltöltéseket, szinkronizálhat teljes mappákat, készíthet átiratokat, vagy továbbíthat tartalmat egy másik szolgáltatónak. Adatfeltárási útmutatónk elmagyarázza, hogyan lehet nyomon követni ezeket a kapcsolatokat.

Az OAuth-hozzáférést az alkalmazáshasználattól külön vizsgálja

Az OAuth lehetővé teszi, hogy egy alkalmazás engedélyezett hozzáférést kapjon anélkül, hogy megkapná a felhasználó jelszavát. Ez hasznos, de az engedély szélesebb körű vagy hosszabb életű lehet, mint amit a feladat megkövetel. Egy alkalmazásba való bejelentkezés és annak engedélyezése, hogy hozzáférjen a vállalati erőforrásokhoz, két különböző esemény.

Minden csatlakoztatott alkalmazásnál vizsgálja meg, ahol elérhető, a kiadó vagy a kliens identitását, az engedélyt megadó felhasználót, az erőforrást, a jogosultsági köröket, a hozzájárulás típusát és a megadás dátumát. Különböztesse meg a felhasználó nevében gyakorolt delegált hozzáférést azoktól az alkalmazásjogosultságoktól, amelyek interaktív felhasználó nélkül is működhetnek. Vizsgálja meg a frissítési tokenek viselkedését, és azt, hogy az engedély érvényben maradhat-e azután is, hogy a felhasználó már nem használja aktívan az eszközt.

Kezelje elsőbbséggel azokat az engedélyeket, amelyek postafiókok olvasását, fájlok módosítását, címtár-hozzáférést, tárolóbeli változtatásokat vagy több felhasználóra kiterjedő széles körű hozzáférést tesznek lehetővé. Ellenőrizze, hogy a kért jogosultsági körök megfelelnek-e a megadott célnak. Egy időpont-egyeztető segédprogram, amely naptár-hozzáférést kér, más kérdést vet fel, mint egy olyan, amely a postafiók tartalmához és korlátlan fájlhozzáféréshez kér hozzáférést.

Gyakorlati kontrollként korlátozza a nagy hatású hozzájárulások megadását az adminisztrátorokra vagy egy felülvizsgálati munkafolyamatra, ahol a platform ezt támogatja. Ne csak az új alkalmazásregisztrációkat vizsgálja felül, hanem az újonnan megadott jogosultságokat és a meglévő alkalmazások változásait is.

Egy böngészőbővítmény eltávolítása vagy egy felhasználói integráció leválasztása nem feltétlenül szüntet meg minden engedélyt, tokent vagy külső adatmásolatot. Ellenőrizze a visszavonást az erőforrás-platformon és a beszállítói fiókban. A titkosított átvitel nem bizonyítja, hogy egy integráció biztonságos, és nem is teszi lehetetlenné a vizsgálatot; a láthatóság a rendelkezésre álló kontrolloktól és telemetriától függ.

Rangsoroljon kitettség és üzleti függőség szerint

Az osztályozással döntse el, mi igényel elsőként figyelmet. Ne kezeljen minden jóvá nem hagyott eszközt egyformán sürgősként.

Értékelje az érintett információk érzékenységét és mennyiségét, a hozzáférés kiterjedését, a külső megosztást, az eszközállapotot, az adminisztratív kontrollt és a kompromittálódás bizonyítékait. Vegye figyelembe a rendelkezésre állást is: egy dokumentálatlan automatizálás lehet az egyetlen út, amelyen keresztül a megrendelések eljutnak egy beszállítóhoz.

Egy nyilvános tervezési referenciaeszköz, amelyet feltöltések nélkül használnak, csak egyszerű nyilvántartásba vételt igényelhet. Egy MI-alapú értekezlet-asszisztens naptár-hozzáféréssel, felvételekkel és ügyfélmegbeszélésekkel a jogosultságok, a tárolás, a megőrzés és a további adatkezelés mélyebb felülvizsgálatát igényli. Egy éles rendszeren futó felügyeletlen távelérési szolgáltatás azonnali korlátozást és kivizsgálást indokol.

Konkrét kockázati forgatókönyvet rögzítsen, ne „árnyék-IT-kockázatot”. Például: „Egy volt munkavállaló megtartja a munkaterület adminisztrátori jogát, és exportálhatja az ügyfélajánlatokat.” Ez az állítás egy gazda, egy kontrollmódosítás és egy teszt felé mutat.

A feltárás nem automatikusan egy incidens bizonyítéka. Ha a megállapítások jogosulatlan adatközlésre vagy kompromittálódásra utalnak, lépjen át az incidenskezelési folyamatba, és őrizze meg a releváns naplókat. Ha személyes adatok érintettek, a bejelentés szükségességének értékelése a körülményektől és a szervezeti szerepkörtől függ a GDPR 33. és 34. cikke alapján, nem csupán attól, hogy az eszközt jóváhagyták-e.

Olyan kezelést válasszon, amely megőrzi az üzleti igényt

Minden döntéshez gazda, indoklás, teljesítési kritériumok és nyomon követés szükséges. A gyakorlatban négyféle kezelés hasznos.

Jóváhagyás és irányítás alá vonás

A jóváhagyásnak a megengedett használatot kell leírnia, nem pedig korlátlan engedélyt adnia a termékre. Alakítson ki a vállalat által ellenőrzött adminisztrációt, megfelelő hitelesítést, a legkisebb jogosultság elvén alapuló hozzáférést, a belépés–áthelyezés–kilépés kezelését és támogatott konfigurációt. A naplózást, a megosztási korlátozásokat, a helyreállítási vagy exportálási lehetőségeket és a megőrzést vesse össze a felhasználási esettel.

Adott esetben vizsgálja felül a beszállítót és a szerződést. Ha a beszállító a szervezet nevében személyes adatokat kezel, értékelje a GDPR 28. cikke szerint szükséges adatfeldolgozói megállapodásokat. A nemzetközi adattovábbításra vonatkozó megoldások külön értékelést igényelnek; egy kiválasztott tárhelyrégió nem rendez minden kérdést. A 32. cikk szerinti biztonsági intézkedések kockázatalapúak, nem egy olyan egységes ellenőrzőlista, amelyet egyetlen beállítás teljesít.

Őrizze meg a jóváhagyás bizonyítékait: a konfigurációs exportokat, az adminisztrátori kijelöléseket, a hozzáférési teszteket, a szerződéses felülvizsgálatot és az elfogadott maradványkockázatot.

Lecserélés megfelelő alternatívára

A lecserélés csak akkor működik, ha az alternatíva kielégíti a tényleges igényt. Mielőtt kötelezővé tenné az átállást, tesztelje a fájlméret-korlátokat, a külső együttműködést, az akadálymentességet, az automatizálást és a szükséges integrációkat.

Határozza meg az átállás sorrendjét, egyeztesse a nyilvántartásokat, és ellenőrizze, hogy a felhasználók végig tudják-e vinni a munkafolyamatot. Őrizze meg a szükséges nyilvántartásokat és a releváns metaadatokat. Az átállás után ellenőrizze a megosztott hivatkozásokat és az integrációkat, majd zárja le a régi bérlőt, ahelyett hogy csak a fizetést állítaná le.

Az indokolatlan használat megszüntetése

Egy védhető cél nélküli vagy elfogadhatatlan kitettséggel járó eszköz esetében állítsa le az új használatot, és tervezze meg az eltávolítást. Vonja vissza az engedélyeket és a tokeneket, távolítsa el a bővítményeket vagy szoftvereket, tiltsa le a fiókokat, zárja le a megosztási hivatkozásokat, és kezelje a már exportált adatokat. Ha a megállapítások indokolják, cserélje le a kitett hitelesítő adatokat.

Egy fiók törlése nem bizonyítja, hogy a beszállítónál tárolt összes információ eltűnt. Szerezze be az elérhető törlési bizonyítékokat, és dokumentálja a szerződéses megőrzést, a biztonsági mentéseket vagy egyéb korlátokat. Őrizze meg azokat az információkat, amelyekre kötelező megőrzés vagy jogi célú zárolás vonatkozik.

Ellenőrzött, ideiglenes kivétel engedélyezése

Egy üzletileg kritikus eszköznek átmeneti időszakra lehet szüksége. Határozza meg az engedélyezett felhasználókat és adatokat, a kompenzáló kontrollokat, a kockázatot elfogadó elszámoltatható személyt, a lejáratot és a kilépési feltételeket. Ahol lehetséges, korlátozza a további bővülést. Egy felülvizsgálat nélküli, állandó „ideiglenes” kivétel megoldatlan irányítási hiányosság.

Kidolgozott példa: MI-alapú értekezlet-asszisztens

Vegyünk egy szemléltető szervezetet, amely az értékesítési folyamatát vizsgálja át. Tegyük fel, hogy nyolc munkavállaló egyéni fiókokon keresztül egy ingyenes értekezlet-asszisztenst használ. Az interjúk megerősítik, hogy az eszköz ügyfélhívásokat rögzít; egy identitásexport naptárengedélyeket mutat. Beszerzési nyilvántartás nem létezik, és egy értékesítési vezető az átiratokra támaszkodik az átadásoknál.

Az első döntés a további felvételek és felhasználók szüneteltetése, amíg meg nem állapítják, mi került rögzítésre. A biztonsági terület rögzíti az engedélyeket és a fiókidentitásokat. A vezető azonosítja az érintett megbeszéléseket és az operatív igényt. Az adatvédelmi és a beszerzési terület felülvizsgálja az adatkezelési megállapodásokat, a résztvevők tájékoztatását, a beszállítói feltételeket, a megőrzést és az esetleges releváns adattovábbítási megoldásokat. A csapat azt is ellenőrzi, hogy a felvételek vagy átiratok nyilvánosan hozzáférhetők-e, és hogy a szolgáltatás más célokra is felhasználja-e a tartalmat.

Tegyük fel, hogy a felülvizsgálat megállapítja: az ingyenes csomag nem tud vállalat által ellenőrzött adminisztrációt vagy a szükséges megőrzési beállításokat biztosítani. A döntés a lecserélés, nem pedig az átadási folyamat feladása. Az értékesítés tesztel egy jóváhagyott alternatívát megfelelő hozzáférési és rögzítési kontrollokkal, miközben a műszaki gondnok visszavonja a régi naptárengedélyeket, és átköltözteti a megengedett nyilvántartásokat.

A lezárás bizonyítékai közé tartozik az érintett fiókok listája, a helyettesítő eszköz konfigurációja, az engedélyek visszavonásának eredményei, a régi megosztási hivatkozások ellenőrzése és az elérhető törlési visszaigazolások. A biztonsági mentések megőrzésével kapcsolatos esetleges tisztázatlan korlát rögzítve marad. Az elfogadható használatért az értékesítési vezető felel; a konfigurációért és a kiléptetésért az IT. A felülvizsgálat egy irányított folyamattal zárul, nem csupán egy letiltott alkalmazással.

Előzze meg a következő vakfoltot egy használható befogadási folyamattal

A csapatok gyakran azért vezetnek be eszközöket, hogy áthidalják a lassú jóváhagyásokat, a hiányzó funkciókat vagy a meglévő rendszerek nehézkességét. A feltárásnak ezeket az okokat is azonosítania kell. Ellenkező esetben az eltávolítás csupán egy kevésbé látható helyre tereli ugyanazt a tevékenységet.

Tegye egyszerűvé a kérelmek benyújtását. Kérdezzen rá a célra, a felhasználókra, az adatkategóriákra, az integrációkra, a sürgősségre és egy üzleti gazdára. Tegye közzé azokat a kritériumokat, amelyek mélyebb felülvizsgálatot váltanak ki, és biztosítson gyakorlati utat az alacsony kockázatú próbahasználathoz. Adjon a kérelmezőknek állapotinformációt és várható döntési időpontot; ne hagyja a kérelmeket megmagyarázatlan várólistán.

Tanítson konkrét viselkedésformákat: kérdezzen, mielőtt egy szolgáltatást a vállalati e-mailhez csatlakoztatna, ne töltsön fel ügyféladatokat egy át nem vizsgált eszközbe, és jelentse a meglévő munkaterületet, mielőtt megújítaná. Adjon a csapatoknak olyan bejelentési utat, amely a hiányosságok megszüntetésére összpontosít, nem pedig a jóhiszemű bejelentés büntetésére.

A jóváhagyás után is figyelje a változásokat. Vizsgálja felül az új OAuth-engedélyeket, az adminisztratív változásokat, a külső megosztást, az újonnan bekapcsolt MI-funkciókat és az érzékenyebb adatokra való kiterjesztést. Gyakorlati ajánlásként kombinálja az eseményekhez kötött ellenőrzéseket a gazdák időszakos megerősítésével. A felülvizsgálat gyakoriságának a kitettséget és az üzleti kritikusságot kell tükröznie, nem egy egységes időközt.

Tegye hasznossá a bizonyítékokat az IBIR számára

Az ISO/IEC 27001 egy meghatározott alkalmazási területű információbiztonsági irányítási rendszerre vonatkozik. Az árnyék-IT-vel kapcsolatos megállapítások hasznos bemenetet adhatnak az eszközkezeléshez, a beszállítói felülvizsgálathoz, a hozzáférés-szabályozáshoz, a kockázatértékeléshez és a kockázatkezeléshez. A kontrollok kiválasztása továbbra is kockázatalapú; egy alkalmazáslista sem nem IBIR, sem nem bizonyítéka a kontrollok működésének.

Tartsa külön a feltárás hatókörét, az értékelést, a kezelési döntést, a megvalósítás bizonyítékát és a hatékonysági ellenőrzést. Egy „eltávolítva” feliratú lezárt jegy gyengébb bizonyíték, mint a visszavont hozzáférés és egy tesztelt eredmény. A kockázatelfogadásnak azonosítania kell, kinek volt jogköre az elfogadásra, és mikor kell újra megvizsgálni. A tanúsítás önmagában nem igazolja a GDPR-nak való megfelelést.

A Secani összekapcsolt munkaterületet biztosít a rendszerek és szolgáltatások modellezéséhez, a bizonyítékok követelményekhez és döntésekhez kapcsolásához, valamint gazdák és felülvizsgálati feladatok kijelöléséhez. A feltárást és a kikényszerítést tartsa a megfelelő operatív rendszerekben, majd a releváns exportokat, felülvizsgálatokat és jóváhagyásokat hozza át ebbe a megfelelési kontextusba. A mesterséges intelligenciával támogatott javaslatokat kezelje emberi átvizsgálást igénylő vázlatként, a források nyomon követhetőségének megőrzésével.

A következő felülvizsgálathoz válasszon ki egy üzleti folyamatot, és egyeztesse annak identitási, költési, végponti és interjúalapú megállapításait. Minden megerősített megállapítást zárjon le egy megnevezett gazdával, kezeléssel, határidővel és lezárási teszttel. Hasznos mérőszám a gazdával rendelkező elemek aránya, a késedelmes döntések, a lejáró kivételek és az elvégzett hozzáférés-visszavonási ellenőrzések – nem csupán a feltárt eszközök száma.