Ecco perché lo Shadow IT è rischioso

In ufficio sono molti i collaboratori che, utilizzando sistemi di archiviazione online e software privati, trasmettono e scambiano dati. E quando ciò accade senza il consenso del reparto IT, questa tipologia di Shadow IT è tutt’altro che innocua.

Lavorando al computer, è normale sviluppare delle preferenze per alcune applicazioni e servizi online e, comprensibilmente, voler utilizzare questi strumenti ormai ben familiari in qualsiasi contesto, anche per semplificarsi la vita sul posto di lavoro. Tuttavia, ogni programma e ogni file scaricato sul computer aziendale tramite canali privati contribuisce ad aumentare il rischio di contrarre un virus o un ransomware che, propagandosi attraverso la rete interna, rischia nel peggiore dei casi di paralizzare l’intera infrastruttura. Una minaccia per l’azienda, che corre il rischio di subire interruzioni della rete e notevoli perdite finanziarie.

I rischi per la sicurezza dei dati

Chi ne paga direttamente le conseguenze sono gli esperti di informatica aziendali che devono fare i conti con i danni. La loro vita si complica ulteriormente ogni qual volta un team o interi dipartimenti all’interno dell’azienda non rispettano le normative aziendali, acquistando e utilizzando software oppure abbonandosi a servizi online di propria iniziativa. Questi sistemi non autorizzati e non controllati vengono chiamati «Shadow IT».

«Questo avviene senza test né approvazioni o licenze», afferma Reike Ramadani, specialista del cloud ed ex tecnico dell’IT Support presso Ringier. Lei conosce bene questa problematica nella sua quotidianità lavorativa. «Gli utenti non hanno certamente cattive intenzioni e pensano che questi tool possano semplificare loro il lavoro. Ma prima o poi noi del reparto IT riceviamo una notifica e ci ritroviamo a dover gestire tutte le conseguenze», spiega Ramadani.

«Ogni qual volta una persona prende l’iniziativa senza rispettare i processi ufficiali ci troviamo di fronte a un potenziale problema», conferma Oliver Stampfli, Security Architect presso Swisscom. Infatti: «Esistono procedure regolari che verificano con estrema precisione se le applicazioni presentano falle di sicurezza e la velocità con la quale risolverli. Inoltre, viene prestata particolare attenzione agli aspetti legali e tutto ciò non avviene invece per i canali non ufficiali». A questo si aggiunge anche che molti servizi dispongono di una versione aziendale in grado di garantire standard di sicurezza più elevati.

Cosa preoccupa di più

Secondo Stampfli, i servizi cloud come Dropbox, i servizi di traduzione quali DeepL e i convertitori di file PDF rappresentano i problemi maggiori nell’ambito dello Shadow IT. Quando questi servizi gratuiti vengono utilizzati liberamente c’è la possibilità che si verifichino flussi in uscita di dati riservati, senza apposite regolamentazioni in materia di segretezza e di sicurezza con i servizi cloud. «È importante leggere attentamente l’informativa sulla privacy e le condizioni generali di contratto per capire come i dati vengono protetti e trasmessi. Molto spesso capita addirittura di cedere i diritti alle aziende che forniscono il servizio».

«Un collaboratore lascia l’azienda, ma i dati rimangono nel suo sistema di archiviazione online personale».

Oliver Stampfli, Security Architect presso Swisscom

In questo modo, dati aziendali confidenziali finiscono in posti a cui non appartengono e, nel peggiore dei casi, ci rimangono per anni. L’azienda non ha quindi più alcun tipo di controllo su chi visualizza questi dati, e quando e dove ciò accade. La situazione può diventare complessa anche nel caso di licenziamenti: «Anche se il collaboratore lascia l’azienda, i dati sensibili sono ancora salvati sul suo Dropbox».

Ramadani, tecnico dell’IT Support, conosce bene questa problematica nella sua quotidianità lavorativa. Racconta: «Gli utenti che vogliono adottare soluzioni personali a lavoro acquistano spesso licenze di propria iniziativa e lo fanno utilizzando i loro indirizzi privati. Ciò causa problemi sul lavoro».

Lo Shadow IT è inoltre la causa di costi inutili. Da un lato per i danni che potrebbero verificarsi a causa di falle di sicurezza, e dall’altro perché le aziende beneficiano ad esempio di sconti sui quantitativi acquistati. «Una licenza per 2000 utenti è meno costosa di 40 licenze per 50 utenti», afferma Oliver Stampfli. «Una gestione centralizzata è certamente più conveniente per le grandi aziende».

Uno svantaggio per la collaborazione

Un ulteriore svantaggio dello Shadow IT è rappresentato dalle difficoltà in termini di collaborazione fra i diversi team e dipartimenti. «Il team uno utilizza il tool A, il team due, invece, quello B. E all’improvviso si ritrovano a dover collaborare. Ciò significa che uno dei due team deve passare all’altro tool, oppure che è necessario introdurre un tool C. In un caso o nell’altro, ciò comporta costi aggiuntivi per l’azienda», sostiene Stampfli.

La soluzione migliore: presentare le proprie richieste per software e hardware agli esperti di IT, che si occupano di controllare le soluzioni in questione, chiarire le questioni giuridiche e presentare proposte che tengano conto dei requisiti di sicurezza dell’azienda e delle esigenze degli utenti. Soluzioni sensate in termini di costi e chiare per le dinamiche aziendali dal punto di vista informatico.

Articolo aggiornato di novembre 2019.