英國國家網路安全中心發布影子 IT 新指南

英國國家網路安全中心（National Cyber Security Centre, NCSC）於7月底發布如何管理組織中影子 IT （Shadow IT）指南。陰影IT係指未經組織正式核准或控制的IT系統、設備、軟體、服務和流程。其可能會帶來安全風險、合規和資源浪費等問題。影子 IT 的類型包括無監管設備（Unmanaged devices）以及無監管服務（Unmanaged services），並帶來包括資料竊盜與利用服務或設備等侵害可能。而因為大多數影子IT並非故意違反規則，多數狀況下，員工可能沒有意識到其將組織置於危險之中。因此，組織可採取以下措施以降低風險。 

1. 避免不必要的 IT 封鎖，透過預見用戶需求以防止員工使用影子IT。 
2. 實施有效且簡單的流程來快速處理用戶請求，避免員工自行尋找解決方案。 
3. 建立流程，讓用戶可以快速獲得超出正常範圍的服務，並根據需求加強控制。 
4. 引入可控制未經授權服務之流程。 
5. 建立良好的網路安全文化，使員工能夠公開溝通問題，並更有可能報告影子IT的情況。

資料來源：Shadow IT