Shadow IT: Die stille interne Bedrohung in Remote-Work-Umgebungen

Menschen, wie Elektrizität, neigen dazu, den Pfad des geringsten Widerstands zu nehmen. Über das letzte Jahr hasteten Unternehmen weltweit, Remote-Infrastruktur aufzusetzen, um den Coronavirus-Sturm zu überstehen. Für viele Mitarbeiter war der abrupte Übergang vom Büro zum vollen Remote-Work eine weitgehend unbegleitete Erfahrung. Laut IBM Security's Work-from-Home-Studie haben über die Hälfte der befragten Remote-Mitarbeiter keine neuen Sicherheitsrichtlinien erhalten, wie man sicher von zu Hause arbeitet. Mit über 34 % aller Mitarbeiter, die bis Jahresende voraussichtlich voll remote sein werden, rennen IT-Abteilungen gegen die Zeit, sichere und sichere Remote-Infrastruktursysteme zu implementieren, die die Bedürfnisse ihrer Mitarbeiter erfüllen.

In Abwesenheit richtungsweisender Anleitung haben Arbeiter einen hybriden Workflow aus neuen Remote-Work-Lösungen, browserbasierten Software-as-a-Service (SaaS) Applikationen und repurposed Consumer-Tools für Kommunikation, File Sharing und Kollaboration umarmt. Kombiniert mit BYOD und laxer Sicherheitsüberwachung schaffen diese Verhaltensweisen die perfekte Gelegenheit für böswillige externe Akteure, die von Cybercrime profitieren wollen.

Die Bedrohung durch Shadow IT

„Shadow IT“ ist der generelle Begriff für Applikationen und Geräte – weitgehend SaaS –, die Mitarbeiter ohne IT-Erlaubnis oder Corporate Controls aufsetzen und nutzen. Von ungesicherten Geräten bis Public Cloud File Sharing und persönliche E-Mail – viele Remote-Mitarbeiter haben den Pfad des geringsten Widerstands gewählt und Shadow IT umarmt. Diese hoch unsicheren Arbeitsverhaltensweisen haben das Potenzial, Unternehmensdaten zu gefährden, und repräsentieren eine der größten potenziellen Schwachstellen in IT heute.

Über das nächste Jahr werden Enterprise IT-Teams gezwungen sein, die überstürzten Systeme und Infrastrukturen, die 2020 implementiert wurden, effektiv zu reformieren, während sie die neuen Bedürfnisse bestehender Remote-Worker berücksichtigen. Dieser Balanceakt wird neue Strategien und Ansätze im Umgang mit sowohl Sicherheit als auch Nutzerverhalten erfordern.

Laut einer 2020er Cyberark-Studie wiegt Bequemlichkeit oft schwerer als Sicherheit für berufstätige Eltern. Da Menschen in Vollzeit-Remote-Work übergingen, kann die Betreuung von Kindern und Familienmitgliedern mehr mentalen Raum einnehmen als Cybersecurity-Best-Practices. Ergebnis: 93 % der berufstätigen Eltern haben Passwörter über Applikationen und Geräte wiederverwendet, und 29 % gaben zu, dass sie anderen Haushaltsmitgliedern erlauben, ihre Firmengeräte für Aktivitäten wie Schulaufgaben, Gaming und Shopping zu nutzen. Diese unsicheren Aktivitäten können gravierende Folgen haben.

In einem aktuellen Wandera-Report gaben 52 % der Organisationen an, 2020 einen Malware-Vorfall auf einem Remote-Gerät erlebt zu haben – up von 37 % 2019. Noch alarmierender: Von durch Malware kompromittierten Geräten 2020 griffen 37 % weiterhin auf Unternehmens-E-Mails zu, und 11 % auf Cloud-Speicher.

Stellen Sie sich vor, einer Ihrer Software-Entwickler hat Malware auf dem Laptop. Jetzt schreibt er essentiellen Code auf einem ungeschützten Gerät. Sie haben keine Ahnung, wohin dieser Code geht. Wenn Sie diesen Code veröffentlichen, haben Sie ihn vielleicht bereinigt – aber jemand anderes könnte ihn noch haben.

Die Gefahr unüberwachter Daten

Was viele nicht erkennen: Shadow IT ist nicht nur, dass jemand sein persönliches Dropbox oder Gmail nutzt; es geht auch darum, jemandem Zugriff auf eine webbasierte Applikation wie Salesforce zu geben, ohne Kontrolle. Was passiert mit diesen Daten, sobald sie lokal residieren?

Laut einer aktuellen Netwrix-Studie behaupten 91 % der Organisationen, sie speichern sensible und regulierte Daten nur an sicheren Orten. Doch 24 % gaben zu, sie hätten solche Daten im vergangenen Jahr außerhalb designierter Orte entdeckt.

Sichere digitale Umgebungen zu schaffen, erfordert, den kleinsten gemeinsamen Nenner zu betrachten. Da die Work-from-Home-Kultur nicht wegzuschauen scheint, ist es zunehmend kritisch, Mitarbeitern Lösungen zu bieten, die einige der weniger schmeichelhaften Gewohnheiten der Menschheit berücksichtigen. Wenn Shadow IT nicht ernsthaft von Corporate IT-Teams und CIOs betrachtet wird, dann sind ihre sensibelsten Informationen in großer Gefahr.

Alle Hardware- und Software-Lösungen der Welt können Ihr Business nicht schützen, wenn Ihre Mitarbeiter sie nicht nutzen. Die Realität: Wenn eine Organisation versagt, Mitarbeitern die korrekten Tools und Training zu geben, werden sie den Pfad des geringsten Widerstands nehmen und sensible Daten gefährden. Menschen auf den Tools zu schulen, die man ihnen gibt, ist genauso entscheidend wie die Software überhaupt bereitzustellen. Wenn es zu herausfordernd ist, die Software zum Laufen zu bringen, wird die Versuchung, einfach über Chrome auf die Firmen-API zuzugreifen, immer im Hinterkopf bleiben. Mitarbeiter in Best Practices zu schulen und eine IT-Infrastruktur um ihre Bedürfnisse herum aufzubauen, sollte als Eckpfeiler für alle CIOs und IT-Abteilungen dienen.

Michael Abboud ist Gründer und CEO von TetherView, einem Private Cloud Provider.