Gölge BT Nedir?

Bir ekip dosya paylaşmak için kurumun aracını yavaş bulur ve kişisel bir bulut hesabı açar. Başka bir ekip proje takibi için ücretsiz bir hizmete kaydolur. Üçüncüsü bir yapay zekâ aracına müşteri verisi yapıştırır.

Hiçbiri kötü niyetli değildir. Hepsi işini hızlandırmaya çalışır.

Neden Risk

Sorun aracın kendisi değil, kurumun o aracın üzerinde hiçbir denetiminin olmamasıdır.

Veri, kurumsal sözleşme kapsamında olmayan bir sağlayıcıda durur. Hesap kişiseldir; çalışan ayrıldığında erişim onunla gider ya da onda kalır. Çok adımlı doğrulama zorunlu değildir. Bir ihlal yaşandığında kurumun haberi olmaz.

Kişisel verinin işlendiği durumlarda buna hukuki boyut eklenir: verinin nerede tutulduğu ve kiminle paylaşıldığı sorusunun cevabı yoktur.

Ağdan Nasıl Görünür

Kullanım, üç veri kaynağında iz bırakır:

• DNS sorguları. Hangi servis adlarının çözüldüğü, kullanımın en erken işaretidir.
• Uygulama tanıma. Güvenlik duvarı, trafiği port yerine uygulama olarak sınıflandırdığında hangi hizmetlerin kullanıldığı listelenir.
• Akış kayıtları. Bulut sağlayıcılarına giden hacim ve yön, veri çıkışının büyüklüğünü gösterir.

Bu kaynaklardan çıkan liste, genellikle beklenenden uzundur.

Ne Yapılır

İlk tepki engellemek olur ve tek başına çalışmaz. Engellenen araç yerine başka bir araç bulunur; çalışanın çözmeye çalıştığı ihtiyaç ortadan kalkmamıştır.

Daha kalıcı yol üç adımlıdır. Kullanım ölçülür ve hangi ihtiyacın karşılanmadığı anlaşılır. Yaygın kullanılan araçlardan uygun olanları kurumsal sözleşmeye alınır ve resmîleştirilir. Geri kalanlar için net bir politika yazılır ve gerekçesi açıklanır.

Yalnız üçüncü adımın uygulandığı durumlarda gölge kullanım azalmaz; yalnız daha zor görülür hale gelir.