تكنولوجيا الظل (Shadow IT): المخاطر التي تمثلها المنتجات المعلوماتية غير المرخصة بالنسبة للمقاولات
في سياق يتسم بالتوجه نحو لامركزية متزايدة للمستخدمين، أبرزت دراسة حديثة لكاسبرسكي، أن الشركات، أصبحت معرضة بشكل متنامي للحوادث السيبرانية المرتبطة باستعمال تكنولوجيا الظل (Shadow IT) من قبل مستخدميها. تبعا لنتائج الدراسة، عانت 77% من الشركات عبر العالم من حوادث سيبرانية خلال العامين الأخيرين، وشكل استعمال تكنولوجيا الظل سببا مباشرا في 11% من هذه الحوادث.
أبرزت دراسة (1) حديثة لكاسبرسكي أن11% من الشركات التي تعرضت لحوادث سيبرانية خلال السنتين الأخيرتين، وكان السبب في ذلك استعمال مستخدميها للموارد المعلوماتية غير المرخصة. فسواء تعلق الأمر بتسريب البيانات السرية للمقاولة أو إصابتها بأضرار ملموسة، فإن تكنولوجيا الظل يمكن أن تمثل خطرا مضاعفا بالنسبة لكل مؤسسة، ولا يجب الاستهانة بنتائجه المحتملة.
ما هي “تكنولوجيا الظل”؟
“تكنولوجيا الظل” هي الجزء من البنية التحتية المعلوماتية للشركة التي لا توجد خارج نطاق اختصاص المصالح المعلوماتية وقسم الأمن المعلوماتي: التطبيقات والأجهزة والخدمات العامة للسحابة، إلخ. ويمكن لانتشار واستغلال “تكنولوجيا الظل” أن يكون له تداعيات خطيرة على الشركات. تم تحديد العديد من التوافقات في إطار الدراسة التي أنجزها كاسبرسكي، والتي بينت أن الصناعة المعلوماتية كانت الأكثر تضررا، إذ عانت من 16% من الحوادث السيبرانية الناتجة عن الاستعمال غير المرخص لتكنولوجيا الظل خلال سنتي 2022 و2023. وعانت قطاعات أخرى أيضا من هذه المشكلة، على غرار البنيات التحتية الحساسة ومؤسسات النقل واللوجستيك، بحصة ناهزت 13%.
في وقت قريب تعرضت شركة Okta لهجوم يجسد بشكل خطير التهديدات التي يمكن أن يتسبب فيها اللجوء إلى تكنولوجيا الظل من قبل المستخدمين. ففي سبتمبر 2023، تسبب أحد المستخدمين الذي استعمل حسابه الشخصي على قوقل في أحد أجهزة الشركة، بشكل غير إرادي، في تمكين عناصر خبيثة من الحصول على ولوج غير مرخص لنظام Okta لخدمة الزبناء، وتمكنت هذه العناصر عبر ذلك من الاستيلاء على ملفات تحتوي بيانات دخول يمكن استعمالها للقيام بهجات. ووفقا للتقرير الذي نشرته الشركة، استغرقت هذه العملية حوالي 20 يوما وتضرر منها 134 زبون من زبناء الشركة.
كيف يمكن أن نحمي أنفسنا منها؟
ما الذي يجب أن نحتاط منه إذا كنا نرغب في الوقاية من تكنولوجيا الظل؟ يتعلق الأمر بتطبيقات غير مرخصة مثبتة في حواسيب المستخدمين، أو في مفاتيح يو إس بي التي تم جلبها من خارج الشركة، أو على هواتف جوالة، أو حواسيب محمولة، إلخ. كما يمكن أيضا أن توجد حوامل أقل بديهية، مثل أجهزة الشركة التي أصبحت متجاوزة بعد تحديث أو إعادة هيكلة البنيات التحتية المعلوماتية، والتي يمكن أن يستخدمها بعض المتعاونين وأن تتسبب في حدوث اختلالات قد تؤدي عاجلا أم آجلا إلى إضعاف البنية التحتية المعلوماتية للشركة.
من جانب آخر، قد يحدث أن يقوم تقنيو المعلومات والمبرمجون أنفسهم بخلق برامج على المقاس من أجل تجويد تدفقات العمل داخل فريق أو تقديم خدمات أو من أجل حل مشاكل داخلية. غير أن هذه البرامج يمكن أحيانا أن تستعمل بدون موافقة قسم الأمن المعلوماتي، الشيء الذي يمكن أن تترتب عنه آثار كارثية.
« يسود الاعتقاد لدى المستخدمين الذين يستعملون أجهزة أو خدمات السحابة الغير موافق عليها من قبل القسم المعلوماتي للشركة، بأن هذه الموارد يفترض فيها أن تكون محمية وآمنة عندما تكون من مصادر جديرة بالثقة. غير أن الموردين، وفي “الظروف العامة”، يحيلون على ما يسمى “المسؤولية المشتركة”. وينص هذا النموذج على أن المستعمل عندما يقوم بالتأشير على خانة “موافق”، فإنه يلتزم بالقيام بالتحيينات المنتظمة للبرنامج وأنه يتحمل مسؤولية الحوادث المرتبطة باستعماله (بما في ذلك تسريب بيانات الشركة). وفي نهاية المطاف، فإن الشركات تكون دائما في حاجة إلى أدوات لمراقبة استعمالات مستخدميها لتكنولوجيا الظل. تضع برامج كاسبرسكي لحماية نقطة النهاية للشركات والسحابة (Kaspersky Endpoint Security for Business و Kaspersky Endpoint Security Cloud) رهن إشارة المستعملين خصائص مراقبة التطبيقات والأنترنيت والأجهزة الطرفية، والتي تحد من الاستعمالات غير المرخصة. وبطبيعة الحال، يجب أن يستمر مركز العمليات الأمنية (SOC) في القيام بشكل موازي بإجراء تحاليل للشبكة الداخلية للمقاولة من أجل تفادي استعمال الأجهزة والخدمات والتطبيقات التي لا تخضع للمراقبة والغير آمنة »، يقول أليكسي فوفك، مسؤول الأمن المعلوماتي لدى كاسبرسكي.
بشكل عام، يزيد من تعقيد مراقبة استعمال تكنولوجيا الظل انعدام إجراءات زجرية اتجاه المستخدمين الذين لا يحترمون السياسات الجارية. وتكتسي هذه الإشكالية أهمية خاصة على اعتبار أن تكنولوجيا الظل يمكن أن تشكل إحدى أهم التهديدات التي تواجه الأمن السيبراني للشركات في أفق 2025. ومع ذلك، تجدر الإشارة إلى أن المستخدمين لا يلجؤون دائما إلى استعمال تكنولوجيا الظل لأغراض خبيثة، بل بالعكس: في العديد من الحالات، يستغل المستخدمون الخيارات التي توفرها تكنولوجيا الظل بهدف الرفع من قدرات المنتجات التي يستعملونها، لأنهم يعتبرون أن مجموعة البرمجيات المرخصة لا تكفي، أو لأنهم تعودوا على الاشتغال بكمبيوتراتهم الشخصية.
للتخفيف من المخاطر المرتبطة باستعمال تكنولوجيا الظل في المؤسسات، ينصح كاسبارسكي باتباع التوصيات التالية:
· إذا رغبتم في إنشاء خدمات معلوماتية جديدة للشركات أوتحسين الخدمات الموجودة بها، يجب إرساء تعاونٍ بين الأقسام التجارية والمعلوماتية بهدف بحث الاحتياجات التجارية الجديدة والحصول على ردود الفعل حول الخدمات المعلوماتية المتوفرة.
· يجب الحرص على إنجاز جرد منتظم للأصول المعلوماتية وتحليل الشبكة الداخلية للشركة لتفادي ظهور تجهيزات أو خدمات غير مرخصة.
· فيما يتعلق بالأجهزة الشخصية للمستخدمين، يستحسن أن لا يسمح للمستعملين إلا بولوج محدود لا يتعدى الموارد التي يحتاجون إليها للقيام بعملهم. يجب استعمال نظام لمراقبة الولوج لا يسمح بالدخول للشبكة إلا للأجهزة المرخصة.
· قدموا تكوينات لتحسين معارف المستخدمين في مجال الأمن المعلوماتي. لتحسيس المستخدمين بالأمن وفروا لهم تكوينات عبر برنامج Kaspersky Automated Security Awareness Platform، الذي يهدف إلى التمكين من الاطلاع على الممارسات الفضلى على الأنترنيت.
· استثمروا في برامج التكوين المناسبة للمتخصصين في الأمن المعلوماتي. يمكن التكوين عن بعد لبرنامج Kaspersky Cybersecurity for IT من بلورة ممارسات بسيطة، ولكن فعالة، في مجال الأمن المعلوماتي، إضافة إلى أدوات تدبير الأمن. يمكن Kaspersky Expert Training من جهته فريقكم من اكتساب المعارف والكفاءات في مجال التدبير من أجل التخفيف من التهديدات.
· استعملوا المنتجات والحلول التي تمكنكم من مراقبة استعمال تكنولوجيا الظل داخل شركتكم. بهذا الصدد يقدم كاسبرسكي حلول أمن نقط النهاية للشركات والسحابة (Kaspersky Endpoint Security for Business و Kaspersky Endpoint Security Cloud) التي تتيح مراقبة التطبيقات والمواقع الإلكترونية والأجهزة الطرفية وتحد من الاستعمالات غير المرخصة. ويحد ذلك من مخاطر الحوادث السيبرانية، حتى في الحالات التي يكون فيها المستخدم مستعملا لتكنولوجيا الظل أو يقترف أخطاء في مجال الأمن الإلكتروني.
· القيام بجرد منتظم للأصول المعلوماتية للحيلولة دون ظهور أجهزة متخلى عنها أو تجهيزات متجاوزة.
· تنظيم عملية مركزية لنشر الحلول من أجل إتاحة الفرصة أمام أخصائيي المعلوماتية والأمن المعلوماتي للاطلاع عليها في الوقت المناسب.
· الحد من لجوء المستخدمين إلى خدمات خارجية، وإذا أمكن، إغلاق الوصول إلى خدمات البيانات السحابية الأكثر انتشارا.
التقرير الكامل بالإضافة إلى معلومات أخرى حول دور العامل البشري في الأمن السيبراني متوفرة هنا
حول كاسبرسكي
“كاسبرسكي”، شركة عالمية، تأسست سنة 1997، وهي متخصصة في مجال الأمن الإلكتروني وحماية الحياة الرقمية الشخصية. وتعمل كاسبرسكي باستمرار على تسخير خبرتها الكبيرة في مجال “الرصد الذكي للتهديدات” وأمن تكنولوجيا المعلومات في سبيل إغناء الحلول والخدمات الأمنية الموجهة لحماية الشركات والبنيات التحتية الحيوية، والسلطات العمومية والأفراد في جميع أنحاء العالم. وتشمل مجموعة الحلول الأمنية الواسعة النطاق لـ “كاسبرسكي” حماية شاملة لأجهزة التشغيل النهائية، إضافة إلى حلول وخدمات أمينة مخصصة من أجل مكافحة التهديدات الرقمية العالية الدقة، والتي تتطور باستمرار. كما تساعد تكنولوجيا “كاسبرسكي” أكثر من 400 مليون مستخدم و220.000 مقاولة على حماية الأشياء التي يعتبرونها قيمة ومهمة بالنسبة لهم. للاطلاع على المزيد، تصفحوا: www.kaspersky.com
