影子IT使企業資安挑戰加劇

影子IT（Shadow IT）佔企業內部IT的比例日漸提升，導致企業在資安風險的管控不易！影子IT泛指企業員工或部門為因應自身的業務，採用未經公司IT部門許可的服務或解決方案；根據思科雲端消費服務（Cisco Cloud Consumption）的趨勢資料顯示，因為Shadow IT的關係，企業員工使用未授權程式的數量，已比預測的多出15至20倍，導致影子IT在企業內的比重逐年增加，成為企業IT控管的缺口。

降低影子IT風險　從資安根本教育做起

影子IT雖為資安風險控管時的一大挑戰，但過去幾年台灣企業積極擁抱數位科技，大幅採用數位化程式或設備來提升工作效率，企業已無法全面防堵或杜絕影子IT的出現，所以更應積極正視影子IT所帶來的影響和衝擊，第一步便是改變IT人員對於資安威脅來自外部攻擊的舊思維，同時建立IT人員對於企業內部資安風險的意識；另外，企業也需全面導入資安教育課程，不分部門與階級，從高階領導者至基層員工，灌輸正確的資安觀念，更讓員工了解影子IT的風險，建立完善的資安防禦危機意識，並正視網路安全對企業發展的重要性，與企業IT共同守護企業網路安全。

提升資安防禦技術　實現安全網路環境

為了降低影子IT所帶來的風險，除了全面建立資安思維外，企業也須提升企業網路環境的可視性與可控性，藉由快速偵測網路或應用中異常、威脅、感染的用戶和設備，提高網路威脅的可視性，辨識並過濾員工放到網路上的「隱藏」應用程式，透明化潛在的內部威脅，提高企業IT對影子IT的掌握度。

另外，藉由制定企業資安政策來規範應用程式，企業可提高網路環境的可控性，將資料限制在一定的存取範圍內，加強終端設備和使用者存取的控制力，讓員工的使用行為能與公司的資安政策保持一致，防止機密資訊上傳和不當的資訊共享，降低資訊洩露的風險。

以公有雲為例，因為員工使用公有雲的比例提升，讓企業暴露於資訊洩漏的風險中，然而透過評估分析，企業可得知員工使用的應用程式，並辨識其運行的網路環境，進而掌握並控管企業內部潛在威脅，降低網路風險，實現真正安全的運作模式，減少影子IT趨勢下企業遭受影響的程度。

網路安全基礎賦予企業創新價值

數位浪潮下，影子IT日益增加對企業來說是一種警訊，代表現存的IT架構已無法滿足企業業務的需求；為降低影子IT造成的資安風險，企業除了從根本全面建立資安防禦意識，讓員工將企業網路安全當作自身的責任，也應該調整企業IT資安的策略，提高網路環境的可視性和可控性；長遠地來看，企業還是應該評估現有和未來業務的需求，全面調整IT資安架構，打造安全的環境，讓數位化工具成為企業的助力而非阻力。

Originally Posted at: https://apjc.thecisconetwork.com/site/content/lang/tw/id/6033