专家传真－影子IT使企业资安挑战加剧

影子IT虽为资安风险控管时的一大挑战，但过去几年台湾企业积极拥抱数位科技，大幅采用数位化程式或设备来提升工作效率，企业已无法全面防堵或杜绝影子IT的出现，所以更应积极正视影子IT所带来的影响和冲击，第一步便是改变IT人员对于资安威胁来自外部攻击的旧思维，同时建立IT人员对于企业内部资安风险的意识。另外，企业也需全面导入资安教育课程，不分部门与阶级，从高阶领导者至基层员工，灌输正确的资安观念，更让员工了解影子IT的风险，建立完善的资安防御危机意识，并正视网路安全对企业发展的重要性，与企业IT共同守护企业网路安全。

为了降低影子IT所带来的风险，除了全面建立资安思维外，企业也须提升企业网路环境的可视性与可控性，借由快速侦测网路或应用中异常、威胁、感染的用户和设备，提高网路威胁的可视性，辨识并过滤员工放到网路上的「隐藏」应用程式，透明化潜在的内部威胁，提高企业IT对影子IT的掌握度。

另外，借由制定企业资安政策来规范应用程式，企业可提高网路环境的可控性，将资料限制在一定的存取范围内，加强终端设备和使用者存取的控制力，让员工的使用行为能与公司的资安政策保持一致，防止机密资讯上传和不当的资讯共享，降低资讯泄露的风险。

以公有云为例，因为员工使用公有云的比例提升，让企业暴露于资讯泄漏的风险中，然而透过评估分析，企业可得知员工使用的应用程式，并辨识其运行的网路环境，进而掌握并控管企业内部潜在威胁，降低网路风险，实现真正安全的运作模式，减少影子IT趋势下企业遭受影响的程度。

数位浪潮下，影子IT日益增加对企业来说是一种警讯，代表现存的IT架构已无法满足企业业务的需求；为降低影子IT造成的资安风险，企业除了从根本全面建立资安防御意识，让员工将企业网路安全当作自身的责任，也应该调整企业IT资安的策略，提高网路环境的可视性和可控性；长远地来看，企业还是应该评估现有和未来业务的需求，全面调整IT资安架构，打造安全的环境，让数位化工具成为企业的助力而非阻力。