次のような状況を想像してみてください。あなたは、展示会に持ち込むパンフレットの作成を手伝ってくれる代理店と仕事をしています。印刷会社が明日ファイルを必要としているのですが、あなたが代理店に渡したセキュアなアップロードエリアへのリンクが機能していません。デザイナーは、大きなファイルを簡単に共有できるアプリケーションをダウンロードするよう提案する。管理職からのプレッシャーのため、あなたはそのアプリをダウンロードする。 マスト 印刷の締め切りに間に合うように。
聞き覚えがあるだろうか？この状況を想像するのが難しくないとしたら、それはどこの企業でもよくあることだからだ。ほとんどの人は、企業のIT部門を横取りしてマルウェアをインストールすることを認めることはほとんどないだろうが、実際には行われているのだ。統計的には 違反の82% には人的要素が含まれます。危険なソフトウェアをダウンロードしたり、フィッシング・リンクをクリックしたり、単純な人為的ミスがサイバーセキュリティ事件や侵害において大きな役割を果たしています。
厄介なのは、従業員が不正を働いても何も起こらないことが多いことだ。パンフレットを共有するために使用したソフトウェアは正規のものであり、ベンダーが印刷を行い、新たなリスクは発生しない。心配はいりません。
しかし、そうでない場合もある。用語 シャドーIT, 企業のIT部門がサポートしていないハードウェアやソフトウェアは、セキュリティ・リスクをもたらす可能性がある。
マルウェアが仕込まれたソフトウェアをダウンロードしたり、クラウドのセキュリティが不十分なSaaSアプリにアクセスしたりするだけで、重要なシステムが感染してしまう。しかし、こうしたリスクの機会が常に存在するにもかかわらず、ほとんどの組織では、セキュリティ戦略を策定する際にシャドーITを考慮していません。
リスクを軽減するには、そもそもなぜ従業員がシャドーITに頼るのかを考えることが重要です。シャドーITは多くの場合、ITが承認したハードウェアやソフトウェアでは対応できない、あるいは特にうまく機能しないギャップを埋めるものです。あるいは、承認を得るのに時間がかかりすぎるため、その場しのぎのソリューションに頼ることもある。従業員の立場からすれば、お役所仕事と格闘したり、調達や予算についてIT部門と議論したりするよりも、ソフトウェアをロードするだけで、締め切りに間に合わずに怒鳴られるのを避ける方がずっと簡単だ。
ITの問題に対して従業員が独自の解決策を見つけざるを得ない場合、それは個々のシャドーITアプリやリソースよりも大きな問題を示している。むしろそれは、IT部門と組織内の他のチームとの間のコミュニケーション不全を示している。
IT部門は敵であってはならない。管理職はボトルネックを調査し、IT部門とユーザーとのコミュニケーションを奨励すべきである。経営幹部レベルでは、シャドーITに関連するリスクについてユーザーを教育することも優先される必要がある。ユーザーにとっては、業務に必要なツールの入手はシームレスであるべきで、回避策を探さざるを得ないと感じることはない。最高のセキュリティとは、人々が使うものである」という格言を常に忘れないことだ。また、組織は、セキュリティ・レビューや新しいテクノロジー・ソリューションの迅速なプロビジョニングのプロセスを合理化する手順を確立する必要がある。
誰が何にアクセスできるかを把握することは極めて重要であるため、組織はガバナンス体制を確実に整備しておく必要があります。セキュリティはアイデンティティから始まり、最新の認証技術と パスワード不要のオプション, 、自分が本人であることを証明するのは、手間のかからないものであるべきです。IDソリューションは、FIDO2基準などの業界最高水準のセキュリティ対策を中心に据えるべきであり、, リスクベース認証, 、そしてリスクを継続的に軽減する、インテリジェントなリアルタイムの分析結果。.
日常的なアクセス権限の申請を処理するのに、必ずしもIT部門の関与が必要というわけではありません。セルフサービス機能や シングル・サインオン ユーザーが業務を中断することなく作業できるようにする。ITの側面では、管理者にとっても、IDガバナンスや管理ツールを含むシームレスなソリューションが必要である。.
当社の ガバナンスとライフサイクル データアクセスガバナンスアーキテクチャは、企業全体にわたる可視性を提供するため、ファイル共有全体において、企業データの所有者、データリソースへのアクセス権を持つユーザー、そのアクセス権の取得方法、およびアクセス権の適否を把握することができます。自動化された認証プロセスにより、ビジネスユーザーが監査チームに証拠を提示するために、シンプルで直感的かつ効果的な、実用的なレビュー結果が生成されます。.
すべての脅威が外部からのものであるとは限らず、ITチームは、ユーザーのテクノロジー・ニーズをサポートし続けながら、アクセスを確実に保護し、コンプライアンスを確保する新しい方法を見つける必要がある。ITオペレーションを合理化し、ユーザーを教育し、アイデンティティとアクセス・ガバナンスを導入することで、組織はシャドーITのリスクを軽減することができる。
RSA Governance & Lifecycleの実際の動作をご覧になりませんか？ RSA Governance & Lifecycleの無料トライアルを開始する.
