影子 IT 暗藏保安風險、企業應如何應對潛在危機？

作者為 Cisco 香港、澳門及台灣董事總經理招卓敏

現時當 IT 部門檢測公司網絡活動時，會發現愈來愈多不明的雲端流量。這乃因員工「自攜設備」以及公共雲端軟件服務普及，員工已不再滿足於只使用公司授權的裝置及軟件來進行日常工作。可是，層出不窮的黑客攻擊和網絡威脅有機會透過這些 IT 不能監控的途徑入侵企業網絡。現時大行其道的勒索軟件（ransomware）正透過 Dropbox 此類公共雲端服務平台來寄存及傳播惡意程式，無疑增加企業的網絡安全風險。因此企業應加強「影子 IT」的監測性，以防範日新月異的網絡威脅。

「影子 IT」並不是一個全新的概念。所謂影子 IT，是指機構內部員工採用、但未經機構或 IT 部門許可的 IT 系統：從一般軟件和雲端服務，以至各種流動裝置的應用，也算是影子 IT 的典型例子。其中，員工使用未經授權的公共雲端服務會讓企業暴露於一系列的風險之中，影響企業的法規遵循、數據防護、業務延續性、成本和服務表現等。與此同時，正因為 IT 部門被蒙在鼓裡，當這些系統出現問題，IT 人員便無法找出問題所在，令公司 IT 網絡基建出現潛在風險，逐步變得不再可靠和安全。因此，IT 專業人士不能單單因為影子 IT 無從管理，就將它們置之不顧。

思科較早前的分析研究揭示，目前影子 IT 的情況較想像中嚴重，並為企業帶來不同程度的挑戰。大型企業現時平均正在使用 1,220 項獨立公共雲端服務，遠遠超過它們所估計的 91 項。IT 人員低估了真實情況，會令企業暴露於風險中而不自知，更遑論監管及自我保護。同時，公共雲端服務使用率也有顯著上升，去年平均數目增長 112%，並於 2015 年下半年增加 67%；IT 人員不能繼續忽視公共雲端的使用普，反而必須找出員工在未經授權下仍然冒險採用公共雲端服務的原因，並立刻尋求有效的解決方案來正視網絡安全問題。

公共雲端服務在使用上較為彈性，吸引員工直接尋求自己熟悉的電腦軟件來工作，有意無意地略過 IT 部門的協助，令影子 IT 現象日趨普遍。這亦代表了 IT 普及化的現象─一般業務部門現對於雲端服務創新需求殷切，IT 部門更需迎接這股科技潮流，以主動的混合雲端策略，享受雲端帶來的最大利益。資訊總監必須帶頭建立混合 IT 環境，平衡傳統及雲端系統的新舊需求，提升業務效率和速度。建立混合 IT 之後，技術開發者及業務線（Line of Business）各方就可以透過利用科技、研發應用程式和提供設備支援，以應付市場上數碼顛覆（Digital disruption）締造的優勢，甚至晉身為顛覆者，改革數碼潮流。

要管理影子 IT 問題， IT 部門可考慮採用軟件即服務（Software-as-a-service）的產品，現時坊間都有類似的服務，例如早前 Cisco 的 Cloud Consumption as a Service 便是其中一個例子，這些方案可先找出公司正在使用的公共雲端服務並進行監察，從而加強保安，令企業能持續監控整個機構的公共雲端使用，增加網絡的可視性，指出當中的危機，以降低保安風險。

另一方面，藉著整合各項雲端服務，企業得以降低雲端成本，並透過了解員工和企業內部對雲端的需要，以及與同儕比較而得出的基準，施行全盤雲端使用管理策略。此外，該服務還能替企業尋找合適的雲端服務供應商，提升業務的敏捷度，助其達到業務於風險和法規上的要求。

總而言之，只要企業及 IT 主管正視影子 IT 潛在的保安問題，審視企業需要，制定相關應對策略，便有望轉危為機，全面掌握科技帶來的機遇。