Тіньове ІТ
З'ясуйте, що буває, коли команди користуються несхваленими застосунками.
Що таке Тіньове ІТ?
Клієнтові треба передати 127 МБ, схвалений інструмент приймає лише 50 МБ, а колега не нахвалиться безкоштовним сайтом для обміну файлами. Завантаження займає секунди. Через тиждень сайт повідомляє про витік, і файли вашого клієнта опиняються серед викрадених даних. Ви пройдете цей шлях до кінця: самі звернетеся до служби ІТ-безпеки, подасте звіт про інцидент і заявку на програмне забезпечення, і виявиться, що схвалений інструмент був доступний із самого початку.
Що ви дізнаєтесь у Тіньове ІТ
- Визначайте, що таке тіньове ІТ, і розпізнавайте типові приклади: безкоштовні сайти для обміну файлами, несхвалені застосунки й розширення браузера, які використовують для роботи
- Оцінюйте ризики завантаження даних компанії на неперевірені сторонні сервіси, зокрема щодо резидентності даних і дотримання вимог
- Дійте в правильному порядку, коли інструмент не підходить: повідомляйте службу ІТ-безпеки про будь-яке розкриття даних і подавайте заявку на схвалену альтернативу
- Зрозумійте, як тіньове ІТ створює сліпі зони в безпеці: організація не може стежити за чутливими даними, закривати вразливості й відкликати доступ до них
- Відрізняйте зручні обхідні рішення від справжніх ризиків для безпеки, коли колеги в поспіху пропонують нові інструменти
Тіньове ІТ — Кроки навчання
-
Стислий термін
Ваша команда завершила дизайнерські файли для проєкту Hawthorne, але виникла проблема: разом вони важать 127 МБ, а платформа для обміну файлами, якою зазвичай користується ваша команда, приймає лише файли до 50 МБ. Клієнт уже питає про файли.
-
Повідомлення від Маркуса
На телефон Аліси надходить сповіщення в Telegram від колеги Маркуса Чена.
-
Отримання посилання
CloudDrop, схоже, одразу розв'яже проблему Аліси. Часу обмаль, а рішення потрібне швидко.
-
Відкриття CloudDrop
Аліса відкриває CloudDrop у браузері на комп'ютері. Сайт виглядає солідно й просто: охайний інтерфейс обіцяє швидкий і безкоштовний обмін файлами.
-
Вибір файлів для завантаження
Аліса натискає кнопку «Завантажити файли на сервіс». Відкривається програма «Файли», у якій вона може вибрати матеріали для Hawthorne в папці «Документи».
-
Завантаження матеріалів для Hawthorne
Відкривається програма «Файли» з файлами Аліси. Їй треба перейти до папки «Документи» й вибрати zip-архів із матеріалами для Hawthorne: 127 МБ дизайнерських файлів, графіків проєкту та документів із контактними даними клієнта.
-
Посилання для клієнта
Завантаження завершено, і CloudDrop створив посилання для обміну. Аліса переходить до пошти, щоб надіслати посилання на завантаження Сарі з Hawthorne Industries.
-
Тривожний лист
Минув тиждень. Аліса починає ранок і бачить несподіваний лист від CloudDrop.
-
Сповіщення про інцидент безпеки
Аліса ще не встигла осмислити повідомлення про витік із CloudDrop, а вже надходить інший лист, цього разу від власного центру моніторингу безпеки (SOC) Pinnacle.
-
Дзвінок до служби ІТ-безпеки
В Аліси все обривається всередині. Файли проєкту Hawthorne, які вона минулого тижня завантажила на CloudDrop, потрапили у витік. Їй треба негайно зателефонувати до служби ІТ-безпеки й самій про все розповісти.
Охоплення стандартів безпеки
CIS Controls
- CIS 2 Inventory and Control of Software Assets
- CIS 14.1 Establish and Maintain a Security Awareness Program
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- ID.AM Asset Management