Árnyékinformatika: új szerepben az IT-vezetők

Egy átlagos vállalat működésében jelentősen zsugorodott az IT-vezetők (CIO) szerepköre az elmúlt években. Ironikus módon mindezt a vállalati informatika erőteljes fejlődése váltotta ki. A jövőben a feladatuk az IT-üzemeltetésről egyre inkább a vállalati adatvagyon védelme lesz, amelynek ma a legfenyegetőbb kihívását az árnyékinformatika, vagyis az alkalmazottak által használt párhuzamos eszközök és technológiák – például mobileszközök és -alkalmazások, közösségi hálók jelentik.

Az új technológiák elterjedése mára oda vezetett, hogy az üzleti felhasználók minimális technológiai tudás birtokában is képesek IT-szolgáltatásokat igénybe venni. Egy pénzügyi vezető ma már akár egy tanácsadó cégtől, akár a szoftvergyártótól közvetlenül rendelhet felhőben futó vállalatirányítási rendszert, amelyhez komplett analitikai, adatbányászati lehetőségeket is biztosít a szolgáltató. A marketingvezetők is elfelejthetik az akár egyéves időtartamú komplex bevezetési fázist, ha tartalomkezelő rendszert kívánnak bevezetni: ehhez ma már néhány kattintás is elegendő.

Mindezek következménye, hogy az IT-költéseknek már ma is negyede-ötöde a hivatalos IT-költségvetésen kívül valósul meg, a Gartner előrejelzése szerint pedig ez az arány az évtized végére a 90 százalékot is eléri majd. Napjainkban a CIO-nak szembe kell néznie azzal, hogy a felhasználók új rendszer vagy szolgáltatás bevezetése során nincsenek rászorulva az IT-osztály támogatására.

Van azonban egy olyan terület, amelynek a technológiai fejlődéssel párhuzamosan egyre jelentősebb kihívásokkal kell szembesülnie, ez pedig a vállalati adatbiztonság. Az úgynevezett árnyékinformatika, amely a OneLogin felmérése szerint ma már a vállalatok 71 százalékában jelen van, túlzás nélkül tekinthető a céges IT-rendszerek Achilles-sarkának. A jövő CIO-jának elsősorban ezen a nehéz terepen kell megtalálnia új szerepkörét.

Az árnyékinformatika a vállalati IT-osztály által üzemeltetett hivatalos infrastruktúra mellet használt hardver- és szoftverelemeket, szolgáltatásokat jelenti. Szinte minden munkahelyi környezetben előfordul az e-mail megszületése óta, hogy az alkalmazottak személyes e-mailcímükre küldenek céges prezentációkat, hogy azokat az otthoni gépen fejezzék be. Mára azonban a gyors fájlmegosztásnak ezerféle módja alakult ki az otthonról behozott wifi-routertől kezdve a saját tulajdonú USB-kulcsokig. A lakosság körében népszerű mobileszközök – okostelefonok, laptopok és tabletek – a munkahelyre is elkísérik tulajdonosaikat, és a felhasználók többsége elvárja, hogy azokat a vállalati hálózatban, munkavégzésre is használhassák.

Az árnyékinformatika a vállalati adatvagyonnal való visszaélés melegágya lehet, mivel trójai falóként szolgálhat a kívülről érkező rosszindulatú támadások végrehajtásához. A mobileszközök környezete információbiztonsági szempontból vadnyugati viszonyokat idéz: itt bármi megtörténhet, senki nem érezheti magát biztonságban. A Webroot kutatása szerint csak az Android-alapú mobileszközöket célzó rosszindulatú kódok száma közelíti az egymilliót. A weben elérhető Android-programok 12 százaléka fertőzött valamilyen rosszindulatú funkcióval. A megfertőzött, elveszett vagy ellopott mobileszközök a rajtuk tárolt, vagy általuk elérhető érzékeny információk miatt óriási, és egyre növekvő adatbiztonsági erőfeszítést kívánnak meg a vállalati informatikától.

Az árnyékinformatika alkalmazásának tiltása azonban üzleti hatékonysági okokból nem jöhet szóba. A mobil alkalmazottak hatékonyabban végezhetik a munkájukat, általuk pedig a vállalat is gyorsabban és rugalmasabban reagálhat a változásokra, például az ügyfelek felmerülő igényeire. A jövő CIO-jának tehát az a feladata, hogy ezt a trendet elfogadva az árnyékinformatika rendszereit igyekezzen beterelni a vállalati IT védett és menedzselt környezetébe.

Alapvető követelmény, hogy az IT-vezető mindig rálásson a vállalati környezetben újonnan megjelenő árnyékinformatikai eszközökre. Ezt tervezett és rendszeresen ismételt auditokkal érheti el. E háttér ismeretében kell felállítania az üzleti oldallal közösen a cég adatbiztonsági szabályzatát. Ez nélkülözhetetlen segédeszköz abban, hogy a kollégák körében megfelelő IT-biztonsági tudatosság alakuljon ki – immár kiegészülve a mobileszközökre vonatkozó szabályokkal is.

Következő lépés az árnyékinformatika legalizálása, amely az érintett elemeket biztonságos üzemeltetési környezetbe helyezi. Ennek keretében kell sorra kerülnie a vírusvédelem telepítésének az érintett okostelefonokra és táblagépekre. Fontos az engedélyezett mobilalkalmazások listájának is az összeállítása: ezeken kívül más alkalmazás az adott eszközökre nem telepíthető.

Ezt követheti annak az infrastruktúrának a kiépítése, amellyel a CIO felügyelheti és irányíthatja az adatbiztonsági szabályzat betartását. Ennek része például egy olyan MDM (mobile device management) rendszer, amellyel az IT-osztály távolról letilthatja vagy törölheti a bajba jutott okostelefont, illetve tabletet.

A megelőzés egyik legfontosabb eleme a kreativitás és az innováció: ha a CIO bebizonyítja, hogy az IT-osztály is tud gyorsan, hatékonyan és biztonságosan megoldásokat szállítani, akkor a felhasználók ismét hozzá fordulnak a problémáikkal, és nem az árnyékinformatikában keresik a megoldásokat. Így tudja igazán megtalálni új szerepét a vállalati IT-vezető: mint a vállalati információbiztonság bajnoka és az adatvagyon védelmezője.