Shadow IT: A Ameaça Interna Silenciosa em Ambientes de Trabalho Remoto

Pessoas, como eletricidade, tendem a seguir o caminho de menor resistência. No último ano, negócios em todo o mundo embaralharam para configurar infraestrutura remota para enfrentar a tempestade do coronavírus. Para muitos funcionários, a transição abrupta do escritório para trabalhar totalmente remoto tem sido uma experiência largamente não guiada. Segundo estudo de trabalho a partir de casa da IBM Security, mais de metade dos funcionários remotos inquiridos não receberam quaisquer novas políticas de segurança sobre como trabalhar seguramente a partir de casa. Com mais de 34% de todos os funcionários esperados a ser totalmente remotos até final do ano, departamentos de TI estão a correr contra o relógio para implementar sistemas de infraestrutura remota seguros e protegidos que satisfaçam as necessidades dos seus funcionários.

Na ausência de direção adequada, trabalhadores abraçaram um fluxo de trabalho híbrido de novas soluções de trabalho remoto, aplicações software-as-a-service (SaaS) baseadas em browser, e ferramentas de consumidor reaproveitadas para comunicação, partilha de ficheiros e colaboração. Quando combinados com BYOD e supervisão de segurança frouxa, estes comportamentos criam a oportunidade perfeita para atores externos maliciosos a procurar lucrar com cibercrime.

A Ameaça do Shadow IT

"Shadow IT" é o termo geral usado para descrever aplicações e dispositivos, largamente SaaS, que funcionários configuram e usam sem permissão de TI ou controlos corporativos. De dispositivos não seguros a partilha de ficheiros em cloud pública e e-mail pessoal, muitos funcionários remotos escolheram o caminho de menor resistência e abraçaram shadow IT. Estes comportamentos de trabalho altamente inseguros têm o potencial de colocar dados corporativos em risco, e representam uma das maiores vulnerabilidades potenciais em TI hoje.

Ao longo do próximo ano, equipas de TI empresariais serão forçadas a reformar eficazmente os sistemas e infraestrutura apressados postos em prática durante 2020, enquanto têm em conta as novas necessidades de trabalhadores remotos existentes. Este ato de equilíbrio exigirá novas estratégias e abordagens para lidar com tanto segurança como comportamentos de utilizador.

Segundo um estudo de 2020 da Cyberark, conveniência frequentemente supera segurança para pais trabalhadores. À medida que pessoas transitam para trabalhar a partir de casa a tempo inteiro, cuidar de crianças e familiares pode ocupar mais espaço mental do que melhores práticas de cibersegurança. Como resultado, 93% de pais trabalhadores reutilizaram passwords através de aplicações e dispositivos, e 29% de pais trabalhadores admitiram que permitem outros membros do seu agregado familiar usar os seus dispositivos corporativos para atividades como trabalho escolar, jogos e compras. Estas atividades inseguras podem ter grandes repercussões.

Num relatório recente da Wandera, 52% de organizações reportaram experienciar um incidente de malware num dispositivo remoto em 2020, acima de 37% em 2019. Ainda mais alarmantemente, de dispositivos comprometidos por malware em 2020, 37% continuaram a aceder e-mails corporativos após serem comprometidos, e 11% continuaram a aceder armazenamento na cloud.

Imagine que um dos seus desenvolvedores de software tem malware no seu portátil. Agora tem-nos a escrever código essencial num dispositivo desprotegido. Não tem ideia para onde esse código vai. Quando publica esse código, pode tê-lo limpo, mas outra pessoa ainda pode tê-lo.

O Perigo de Dados Não Monitorados

O que muitos não reconhecem é que shadow IT não é apenas sobre alguém usar o seu Dropbox ou Gmail pessoal; é também sobre dar a alguém acesso a uma aplicação baseada na web como Salesforce e não ter controlo. O que acontece a esses dados uma vez que residem localmente?

Segundo um estudo recente da Netwrix, 91% das organizações afirmam que armazenam dados sensíveis e regulados apenas em locais seguros. No entanto, 24% deles admitiram que descobriram tais dados fora de locais designados no ano passado.

Criar ambientes digitais seguros requer considerar o denominador comum mais baixo. Com a cultura de trabalho a partir de casa não parecendo ir embora tão cedo, é cada vez mais crítico fornecer aos funcionários soluções que tenham em conta alguns dos hábitos menos lisonjeiros da humanidade. Se shadow IT não for seriamente considerado por equipas de TI corporativas e CIOs, então a sua informação mais sensível está em grande perigo.

Todo o hardware e soluções de software do mundo não podem proteger o seu negócio se os seus funcionários não os usarem. A realidade é que se uma organização falhar em fornecer as ferramentas e formação corretas aos seus funcionários, eles seguirão o caminho de menor resistência, e deixarão dados sensíveis em risco. Formar pessoas nas ferramentas que lhes são dadas é tão crucial como dar-lhes o software em primeiro lugar. Se for demasiado desafiante fazer o software funcionar, a tentação de apenas aceder à API da empresa pelo Chrome estará sempre no fundo da sua mente. Educar funcionários em melhores práticas, e construir uma infraestrutura de TI em torno das suas necessidades, deve servir como pedra angular para todos os CIOs e departamentos de TI.

Michael Abboud é fundador e CEO da TetherView, um fornecedor de cloud privada.