O que acontece quando um colaborador utiliza uma aplicação que o departamento de TI nunca aprovou? O problema nem sempre é a aplicação, mas sim a falta de visibilidade e controlo sobre a sua utilização.
Em empresas com equipas híbridas, múltiplas aplicações SaaS e trabalho distribuído, as aplicações não autorizadas podem tornar-se uma fonte de riscos de segurança, acesso e conformidade.
O que são aplicações não autorizadas?
As aplicações não autorizadas são ferramentas de software que os colaboradores utilizam sem que tenham sido avaliadas, aprovadas ou integradas formalmente no ambiente tecnológico da empresa.
Podem ser aplicações SaaS, extensões de navegador, ferramentas de produtividade, serviços de armazenamento, plataformas de inteligência artificial ou qualquer outro recurso digital utilizado para realizar tarefas laborais.
O problema surge quando o departamento de TI desconhece:
- Que aplicações os colaboradores estão a utilizar.
- Que informação corporativa armazenam ou processam.
- Que permissões lhes foram concedidas.
- Quem pode aceder às mesmas.
- Que terceiros gerem os dados.
- Se continuam a ser utilizadas ou se representam um custo desnecessário.
Este fenómeno faz parte do denominado Shadow IT ou TI na sombra.
Para aprofundar este problema, pode consultar a solução da Sinfopac para controlar o Shadow IT e descobrir aplicações não autorizadas.
Como é que as aplicações não autorizadas chegam a uma empresa?
Na maioria dos casos, não existe a intenção de descumprir as políticas de segurança.
Um funcionário pode recorrer a uma ferramenta por precisar resolver rapidamente uma tarefa que os aplicativos corporativos não cobrem.
Alguns exemplos comuns são:
- Utilizar uma plataforma de armazenamento pessoal para compartilhar um arquivo.
- Instalar uma extensão de navegador para automatizar uma tarefa.
- Criar uma conta em uma ferramenta de IA para analisar informações.
- Utilizar um aplicativo de gestão de projetos que outro departamento já utiliza.
- Conceder acesso por meio de “Fazer login com Google” ou Microsoft.
- Contratar individualmente uma ferramenta SaaS com um cartão corporativo.
Do ponto de vista do usuário, essas ações podem parecer inofensivas. Do ponto de vista de TI, cada uma pode criar um novo ativo digital que precisa ser identificado, avaliado e governado.
Por que os aplicativos não autorizados representam um risco?
O principal problema é a falta de visibilidade.
Um aplicativo que não aparece no inventário tecnológico da empresa também não aparece necessariamente em seus processos habituais de segurança, conformidade ou gestão de acessos.
1. Podem facilitar o vazamento de informações
Um aplicativo externo pode receber documentos, credenciais, dados de clientes ou outras informações corporativas sem que exista uma avaliação prévia sobre como serão armazenados e protegidos.
2. Podem criar acessos difíceis de controlar
Quando uma aplicação se conecta através de uma conta pessoal ou via OAuth, ela pode manter permissões sobre recursos corporativos mesmo que a equipe de TI desconheça a existência dessa relação.
3. Podem introduzir vulnerabilidades
Aplicações e extensões de terceiros podem apresentar vulnerabilidades, configurações inseguras ou comportamentos maliciosos.
Por este motivo, o controle de aplicações não deve se limitar ao software instalado diretamente nos equipamentos.
4. Podem dificultar a conformidade
Uma organização precisa saber onde seus dados estão armazenados e quem pode acessá-los. Aplicações desconhecidas dificultam a rastreabilidade necessária para demonstrar que existem controles adequados.
5. Podem gerar custos desnecessários
O Shadow IT também tem uma dimensão financeira.
Diferentes departamentos podem contratar aplicações que realizam funções similares sem que exista uma visão centralizada do catálogo SaaS.
6. Podem permanecer ativas após a mudança da situação do usuário
Quando uma aplicação está vinculada a uma conta pessoal ou a um acesso que a TI não gerencia, revogar as permissões quando um funcionário muda de cargo ou deixa a organização pode ser mais complexo.
Aplicações autorizadas não significa aplicações bloqueadas
O objetivo de controlar as aplicações não deve ser proibir qualquer ferramenta que não tenha sido instalada diretamente pela TI.
Uma estratégia mais eficaz consiste em descobrir, avaliar e decidir.
Uma aplicação pode ser classificada, por exemplo, como:
- Autorizada: cumpre os requisitos de segurança e pode ser utilizada.
- Aprovável: tem utilidade empresarial, mas necessita de controles adicionais.
- Não autorizada: apresenta riscos que impedem a sua utilização.
- Redundante: duplica funções de outra ferramenta corporativa.
- Desconhecida: ainda não existe informação suficiente para determinar o seu risco.
Esta abordagem permite reduzir a Shadow IT sem bloquear desnecessariamente a produtividade.
Como pode a TI controlar as aplicações não autorizadas?
O primeiro passo é obter visibilidade sobre o ecossistema real de aplicações.
Depois, o processo pode ser estruturado em quatro etapas:
Descobrir. Identificar aplicações, extensões e serviços utilizados pelos colaboradores.
Avaliar. Analisar permissões, segurança, criticidade, tratamento de dados e utilidade empresarial.
Centralizar. Incorporar as aplicações legítimas no ambiente tecnológico controlado pela TI.
Revogar ou bloquear. Eliminar acessos e aplicações que apresentem um risco injustificado.
Neste processo podem intervir diferentes tecnologias. SpinOne, por exemplo, permite analisar o risco associado a aplicações e extensões de terceiros em ambientes SaaS. JumpCloud permite integrar aplicações úteis dentro de um modelo centralizado de identidade, SSO e MFA.
Desta forma, o objetivo não consiste simplesmente em descobrir aplicações, mas em converter um ecossistema desconhecido num ambiente que a TI possa governar.
Shadow IT requer visibilidade, não apenas políticas
Uma política que proíbe utilizar aplicações externas não elimina necessariamente o problema.
Se os colaboradores continuarem a utilizar ferramentas que a TI não consegue detetar, a organização continuará a ter pontos cegos.
O controlo efetivo requer combinar descoberta, avaliação de riscos, governação de aplicações e identidade.
A solução da Sinfopac para identificar e controlar aplicações não autorizadas aborda precisamente esta necessidade através da combinação de capacidades de segurança SaaS e identidade.
{{fs-button}}