Shadow Data คืออะไร และคุณจะลดความเสียหายให้เหลือน้อยที่สุดได้อย่างไร?

คุณไม่สามารถมั่นใจได้ว่าข้อมูลขององค์กรของคุณจะถูกซ่อนไว้จากการสอดรู้สอดเห็น แม้ว่าจะใช้โซลูชันการรักษาความปลอดภัยของข้อมูลล่าสุดแล้วก็ตาม ผู้คุกคามสามารถกำหนดเป้าหมายข้อมูลเงาในบริษัทของคุณเพื่อทำให้เกิดการละเมิดข้อมูล ซึ่งสร้างความเสียหายให้กับชื่อเสียงและการเงินของบริษัทของคุณ

ข้อมูลเงาหมายถึงข้อมูลที่มีอยู่นอกระบบการจัดการข้อมูลที่เป็นทางการขององค์กร แต่อาจยังคงถูกนำมาใช้หรือพึ่งพาเพื่อวัตถุประสงค์ในการตัดสินใจ มักเกิดจากแหล่งต่างๆ เช่น อุปกรณ์ของพนักงาน แอปพลิเคชันบุคคลที่สาม และบริการคลาวด์ เพื่อลดความเสี่ยงที่เกี่ยวข้องกับข้อมูลเงา องค์กรควรใช้กลยุทธ์การกำกับดูแลข้อมูลที่ครอบคลุม ซึ่งรวมถึงนโยบายและขั้นตอนในการจัดการข้อมูลที่ละเอียดอ่อน ติดตามรูปแบบการใช้งาน และรับรองการปฏิบัติตามกฎระเบียบที่เกี่ยวข้อง นอกจากนี้ การฝึกอบรมพนักงานเกี่ยวกับแนวปฏิบัติที่ดีที่สุดในการจัดการความปลอดภัยของข้อมูลสามารถช่วยลดโอกาสที่จะเกิดการเปิดเผยโดยไม่ได้ตั้งใจหรือการใช้ข้อมูลเงาในทางที่ผิดโดยเจตนา

ข้อมูลเงาคืออะไร?

ข้อมูลเงาหรือที่เรียกว่า"เงาข้อมูล"ครอบคลุมข้อมูลที่ยังคงถูกปกปิดจากโครงสร้างการกำกับดูแลข้อมูลที่ครอบคลุมของแต่ละบุคคลหรือองค์กร

องค์กรต่างๆ ใช้มาตรการรักษาความปลอดภัยข้อมูลที่หลากหลายเพื่อระบุ จัดหมวดหมู่ และปกป้องข้อมูลที่ละเอียดอ่อน อย่างไรก็ตาม ข้อมูลเงา ซึ่งอยู่นอกเหนือขอบเขตของระบบติดตามและบันทึกแบบเดิมๆ นำเสนอการปฏิบัติตามกฎระเบียบและความท้าทายด้านความปลอดภัยที่สำคัญ เนื่องจากมีลักษณะที่ไม่ได้รับการตรวจสอบ

ตัวอย่างของข้อมูลเงาได้แก่:

การใช้ข้อมูลไคลเอ็นต์ที่แท้จริงในบริบทการพัฒนาถือเป็นแนวทางปฏิบัติทั่วไป แม้ว่าจะก่อให้เกิดอันตรายโดยธรรมชาติเนื่องจากอาจเกิดการละเมิดและการใช้งานโดยไม่ได้ตั้งใจก็ตาม

บริษัทอาจมีซอฟต์แวร์ที่ล้าสมัยซึ่งไม่ได้ใช้อีกต่อไปแล้ว ซึ่งอาจมีข้อมูลที่สำคัญและอาจมีความเสี่ยงด้านความปลอดภัยเนื่องจากขาดการบำรุงรักษา

การสร้างบันทึกแอปพลิเคชันอาจส่งผลให้เกิดการสร้างบันทึกที่มีข้อมูลที่เป็นความลับ ซึ่งอาจนำไปสู่การประนีประนอมหากไม่ได้รับการตรวจสอบและจัดการอย่างแข็งขัน

ไม่ใช่เรื่องแปลกที่บริษัทต่างๆ จะมอบหมายความรับผิดชอบต่างๆ ให้กับผู้ให้บริการภายนอก แต่การทำเช่นนั้นอาจก่อให้เกิดอันตรายบางประการ หากหน่วยงานดังกล่าวขาดโปรโตคอลความปลอดภัยที่แข็งแกร่ง

ให้เราเจาะลึกวาทกรรมที่เกี่ยวข้องกับความแตกต่างที่มีอยู่ระหว่างข้อมูลเงาและไอทีเงา

Shadow Data แตกต่างจาก Shadow IT อย่างไร

Shadow IT ซึ่งรวมถึงฮาร์ดแวร์และซอฟต์แวร์ที่ไม่ได้รับการอนุมัติซึ่งใช้โดยองค์กร สามารถแสดงออกมาในรูปแบบต่างๆ เช่น พนักงานที่ใช้แอปพลิเคชันการสื่อสารที่ไม่ได้รับอนุญาต หรือทีมงานโครงการที่ใช้ซอฟต์แวร์ภายนอก ซึ่งอยู่นอกเหนือขอบเขตการรับรู้ของแผนกเทคโนโลยีสารสนเทศ (IT)

แม้ว่าข้อมูลเงาหมายถึงข้อมูลที่ยังคงปกปิดจากมาตรการรักษาความปลอดภัยข้อมูลและโปรโตคอลการปฏิบัติงานขององค์กรของตน แต่ก็ครอบคลุมเนื้อหาที่ละเอียดอ่อนทุกรูปแบบที่อยู่นอกเหนือขอบเขตของการป้องกันและนโยบายดังกล่าว

เนื่องจากแผนกไอทีขององค์กรของคุณยังคงลืมการมีอยู่ของ Shadow IT ข้อมูลใดๆ ที่ประมวลผลโดยใช้แหล่งฮาร์ดแวร์และซอฟต์แวร์ที่ไม่ได้รับการอนุมัติอาจยังคงตรวจไม่พบโดยมาตรการรักษาความปลอดภัยทางไซเบอร์ของสถาบันของคุณ ผลที่ตามมา ข้อมูลที่ละเอียดอ่อนใดๆ ที่ส่งหรือจัดเก็บภายในโดเมนที่ผิดกฎหมายนี้จะมีสถานะเป็น"ข้อมูลเงา"ซึ่งอยู่นอกเหนือขอบเขตของกลยุทธ์การปกป้องข้อมูลแบบเดิมๆ

แท้จริงแล้วข้อมูลที่เกี่ยวข้องกับงานใดๆ ที่พนักงานเก็บไว้บนแพลตฟอร์มคลาวด์ส่วนบุคคลจะถือเป็นข้อมูลเงาภายในบริบทขององค์กร

แม้ว่าทั้ง Shadow IT และข้อมูล Shadow จะแสดงอันตรายที่แตกต่างกัน แต่อันตรายของทั้งสองอย่างนี้มีลักษณะที่แตกต่างกันออกไป การใช้ Shadow IT อาจส่งผลให้เกิดจุดอ่อนด้านความปลอดภัยที่ไม่ได้รับการจัดการภายในโครงสร้างพื้นฐานเครือข่ายขององค์กร รวมถึงการไม่ปฏิบัติตามนโยบายและกฎระเบียบที่กำหนดไว้ ในทางกลับกัน การจัดการข้อมูลเงาก่อให้เกิดความเสี่ยงที่เพิ่มขึ้นในการเข้าถึงบันทึกที่เป็นความลับและข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต

Shadow IT และข้อมูล Shadow รวมกันเป็นตัวแทนของภัยคุกคามความปลอดภัยที่อาจเกิดขึ้น เนื่องจากสิ่งเหล่านี้ประกอบขึ้นเป็นวิธีการและเป้าหมายตามลำดับ

ข้อมูลเงาแตกต่างจากข้อมูลมืดอย่างไร

เช่น Dark Data หมายถึงข้อมูลที่องค์กรรวบรวมระหว่างการดำเนินงานปกติแต่ยังคงไม่ได้ถูกนำมาใช้เพื่อวัตถุประสงค์เพิ่มเติมใดๆ บ่อยครั้งที่ข้อมูลประเภทนี้ถูกเก็บรักษาไว้เนื่องจากข้อกำหนดในการปฏิบัติตามกฎระเบียบ และอาจมีอยู่ในแผนกต่างๆ ทั่วทั้งองค์กร มีศักยภาพที่ข้อมูลนี้จะก่อให้เกิดภัยคุกคามต่อความปลอดภัยทางไซเบอร์ของบริษัท หากไม่ได้รับการจัดการอย่างเหมาะสม

Dark Data ครอบคลุมแหล่งข้อมูลที่ไม่ได้ใช้งานหลากหลาย เช่น บันทึกประวัติพนักงาน เอกสารการนำเสนอที่ล้าสมัย แบบสำรวจความคิดเห็นของลูกค้าที่ล้าสมัย และอีเมลที่เก็บถาวร

Dark data หมายถึงข้อมูลที่สร้างขึ้นโดยโครงสร้างพื้นฐานด้านไอทีของบริษัทในระหว่างการดำเนินธุรกิจตามปกติ แต่ไม่ได้นำไปใช้เพื่อวัตถุประสงค์อื่นใด และอาจกลายเป็นข้อมูลล้าสมัย ฟุ่มเฟือย หรือไม่ถือว่ามีคุณค่าตามกาลเวลาอีกต่อไป สิ่งนี้แตกต่างกับข้อมูลเงาซึ่งครอบคลุมข้อมูลที่ไม่มีโครงสร้างและกึ่งโครงสร้างทุกประเภทที่อยู่นอกระบบและฐานข้อมูลที่เป็นทางการขององค์กรที่สร้างขึ้นจากพฤติกรรมของพนักงานและการโต้ตอบบนแพลตฟอร์มดิจิทัลต่างๆ เช่น โซเชียลมีเดีย แอพส่งข้อความ พื้นที่เก็บข้อมูลบนคลาวด์ บริการ ฯลฯ และมักถูกรวบรวมโดยไม่ได้รับความยินยอมอย่างชัดแจ้งจากบุคคล

ในทางตรงกันข้าม มีสองวิธีในการสร้างข้อมูลเงา:

การชักจูงโดยเจตนาให้เกินขอบเขตของกรอบงานเทคโนโลยีสารสนเทศที่ได้รับอนุญาตขององค์กร ซึ่งมักเรียกกันว่า"ไอทีเงา"เป็นปรากฏการณ์ที่เกิดขึ้นจากแรงจูงใจและความจำเป็นต่างๆ ภายในบริษัทหรือสภาพแวดล้อมในที่ทำงาน

⭐ เกิดจากการแชร์มากเกินไปของบริษัทคุณโดยไม่รู้ตัว

แนวคิดของ “ข้อมูลมืด” อาจครอบคลุมถึงบางกรณีของ “ข้อมูลเงา” ซึ่งหมายถึงข้อมูลที่มีอยู่ในระบบขององค์กร แต่ไม่สามารถเข้าถึงหรือวิเคราะห์ได้ง่ายเนื่องจากข้อจำกัดทางเทคนิคหรือปัจจัยอื่นๆ ในแง่นี้ ข้อมูลใดๆ ที่อยู่ภายใต้ขอบเขตของหมวดหมู่ใดหมวดหมู่หนึ่งอาจถือได้ว่าเป็นส่วนหนึ่งของคำจำกัดความที่กว้างขึ้นของข้อมูลสีเข้ม

ข้อมูลเงาเกิดขึ้นได้อย่างไร?

ข้อมูลเงาเกิดขึ้นเนื่องจากปัจจัยสำคัญหลายประการ

ในกรณีแรก อาจเป็นไปได้ว่าบุคลากร DevOps ของคุณเร่งดำเนินการอาจมองข้ามมาตรการรักษาความปลอดภัยที่สำคัญไป การกำกับดูแลดังกล่าวอาจก่อให้เกิดภัยคุกคามแฝงที่เล็ดลอดออกมาจากข้อมูล"เงา"ในระหว่างการจัดเตรียมและการเลิกใช้งานทรัพยากรบนคลาวด์อย่างรวดเร็ว มีความเป็นไปได้ที่สินทรัพย์ข้อมูลที่ตรวจไม่พบอาจถูกทิ้งไว้ข้างหลังโดยไม่ตั้งใจ โดยหลีกเลี่ยงการแจ้งเตือนจากทั้งฝ่ายไอทีและหน่วยปกป้องข้อมูล

นอกจากนี้ การแพร่กระจายของการสื่อสารโทรคมนาคมทำให้มีการพึ่งพาโซลูชันซอฟต์แวร์เฉพาะกลุ่มเพิ่มมากขึ้น ซึ่งมีเป้าหมายเพื่ออำนวยความสะดวกในการสื่อสารและการทำงานร่วมกันแบบเรียลไทม์ ซึ่งทำให้เกิดปรากฏการณ์"ข้อมูลเงา"โดยไม่ได้ตั้งใจ สิ่งนี้เกิดขึ้นเมื่อบุคลากรใช้แอปพลิเคชันบุคคลที่สามที่ไม่ได้รับอนุญาตซึ่งอยู่นอกขอบเขตของการจัดการด้านไอที ซึ่งนำไปสู่การสะสมข้อมูลที่ละเอียดอ่อนอย่างซ่อนเร้น

นอกจากนี้ การใช้ทรัพยากรเทคโนโลยีที่ไม่ได้รับการอนุมัติโดยบุคลากรทำให้เกิดสิ่งที่เรียกว่า Shadow IT การใช้เครื่องมือดังกล่าวในการจัดเก็บหรือแบ่งปันข้อมูลส่งผลให้เกิดการสร้างข้อมูลเงาซึ่งมีอยู่นอกเหนือขอบเขตของระบบและการกำกับดูแลที่ได้รับอนุญาตของบริษัท

การจัดการธุรกิจที่ดำเนินการบนคลาวด์หลายระบบถือเป็นความท้าทายในการตรวจสอบข้อมูลอย่างมีประสิทธิภาพและระบุการสะสมข้อมูลเงา

สุดท้ายนี้ มีความเป็นไปได้ที่พนักงานของคุณอาจจัดเก็บข้อมูลที่ละเอียดอ่อนไว้ในอุปกรณ์ส่วนบุคคลหรือบริการจัดเก็บข้อมูลบนคลาวด์ เช่น Google Drive หรือ OneDrive โดยไม่ได้รับอนุญาตอย่างเหมาะสม ดังนั้นจึงข้ามโปรโตคอลการจัดการข้อมูลขององค์กรของคุณ

วิธีลดความเสี่ยงของข้อมูลเงาให้เหลือน้อยที่สุด

ความชุกของข้อมูลเงาเป็นสิ่งที่หลีกเลี่ยงไม่ได้ เนื่องจากข้อมูลดังกล่าวมักเกิดขึ้นจากกิจกรรมในแต่ละวันของบริษัท

อย่างไรก็ตาม การใช้มาตรการบางอย่างอาจช่วยบรรเทาภัยคุกคามที่อาจเกิดขึ้นจากข้อมูลแฝงต่อองค์กรได้

ตรวจจับและปกป้องข้อมูลของคุณ

แผนกความปลอดภัยและการปฏิบัติตามกฎระเบียบของคุณจำเป็นจะต้องตรวจสอบสิ่งอำนวยความสะดวกในการจัดเก็บข้อมูลทั้งหมดอย่างละเอียด รวมถึง Data Lake ระบบบนคลาวด์ และแพลตฟอร์ม Software as a Service (SaaS) เพื่อระบุสินทรัพย์ใด ๆ ที่มีข้อมูลที่ละเอียดอ่อน

เพื่อที่จะใช้มาตรการรักษาความปลอดภัยที่เหมาะสมกับข้อมูลองค์กรของคุณอย่างมีประสิทธิผล จำเป็นอย่างยิ่งที่จะต้องระบุและจัดหมวดหมู่ข้อมูลที่เกี่ยวข้องทั้งหมดที่จัดเก็บไว้ในที่เก็บข้อมูลต่างๆ กระบวนการนี้ไม่ควรจำกัดอยู่เพียงข้อมูลที่มีโครงสร้าง แต่ยังรวมถึงแหล่งข้อมูลกึ่งมีโครงสร้างและไม่มีโครงสร้างด้วย

ตามหลักการแล้ว ขอแนะนำให้ใช้ยูทิลิตี้ที่รวมแหล่งข้อมูลทั้งหมดขององค์กรไว้ในแพลตฟอร์มแบบครบวงจร ในขณะเดียวกันก็ให้สิทธิ์การเข้าถึงแดชบอร์ดที่ครอบคลุมด้วย โซลูชันดังกล่าวช่วยให้สามารถระบุแนวโน้มหรือรูปแบบที่ผิดปกติภายในข้อมูลได้อย่างรวดเร็ว

ด้วยการใช้ข้อจำกัดในการอนุญาตและการเข้าถึงข้อมูล องค์กรสามารถป้องกันไม่ให้บุคคลที่ไม่ได้รับอนุญาตเข้าถึงข้อมูลที่เป็นความลับได้ กลไกการควบคุมการเข้าถึงช่วยให้สามารถเปิดเผยข้อมูลที่ละเอียดอ่อนแบบเลือกสรรได้โดยการอนุญาตแก่บุคลากรเฉพาะที่ต้องการข้อมูลดังกล่าวเพื่อวัตถุประสงค์ที่ชอบด้วยกฎหมาย มาตรการนี้ป้องกันการใช้ข้อมูลที่ละเอียดอ่อนในทางที่ผิดและรักษาความเป็นส่วนตัวของข้อมูล

จัดการการเกิดขึ้นและการสะสม Shadow IT

การจัดการ Shadow IT อย่างมีประสิทธิผลสามารถลดอันตรายที่อาจเกิดขึ้นจากข้อมูลเงาได้ ด้วยการดูแลรักษาซอฟต์แวร์และแพลตฟอร์มที่ใช้ จึงมีความเป็นไปได้มากขึ้นในการรักษาความปลอดภัยข้อมูลที่จัดเก็บไว้ในนั้น

ตรวจสอบให้แน่ใจว่าบุคลากรของเราสามารถเข้าถึงทรัพยากรที่เหมาะสมเพื่อปฏิบัติหน้าที่ได้อย่างมีประสิทธิภาพ ปรับปรุงขั้นตอนการประเมินและการอนุญาตสำหรับการบูรณาการโซลูชั่นเทคโนโลยีใหม่ๆ และการสร้างความตระหนักรู้ในหมู่พนักงานของเราเกี่ยวกับอันตรายที่อาจเกิดขึ้นที่เกี่ยวข้องกับแอปพลิเคชันซอฟต์แวร์ที่ไม่ได้รับอนุญาตสามารถนำไปสู่การจัดการที่มีประสิทธิภาพ เงาไอทีภายในองค์กรของเรา

ด้วยเหตุนี้ จึงเป็นไปได้ที่จะควบคุมปริมาณข้อมูลเงาที่เกิดขึ้นภายในองค์กรอันเป็นผลมาจากแนวทางปฏิบัติด้านไอทีเงา

ใช้นโยบายการรักษาความปลอดภัยเป็นอันดับแรก

การบูรณาการมาตรการรักษาความปลอดภัยทางไซเบอร์ที่แข็งแกร่งภายในวงจรการพัฒนาซอฟต์แวร์ (SDLC) จะต้องเป็นสิ่งสำคัญอันดับแรกสำหรับองค์กรใดๆ โดยมีทีมงานด้านการปฏิบัติตามกฎระเบียบและความปลอดภัยคอยดูแลการกำกับดูแลที่ครอบคลุมเกี่ยวกับกิจกรรม DevOps และการจัดการข้อมูลที่ละเอียดอ่อนของนักพัฒนา

การใช้แนวทางด้านความปลอดภัยและกฎระเบียบที่เหมาะสมเมื่อเริ่มวงจรการพัฒนาซอฟต์แวร์ (SDLC) สามารถลดการสร้างข้อมูลเงาอันเป็นผลมาจากแนวทางปฏิบัติ DevOps และกิจกรรมของนักพัฒนาได้อย่างมีประสิทธิภาพ

นอกจากนี้ ขอแนะนำอย่างยิ่งให้กำหนดแนวปฏิบัติที่ครอบคลุมเพื่อการลบเงาที่หลงเหลืออยู่ภายในฐานข้อมูลอย่างเป็นระบบอย่างสม่ำเสมอ

ฝึกอบรมพนักงานของคุณ

เพื่อบรรเทาภัยคุกคามที่อาจเกิดขึ้นที่เกี่ยวข้องกับข้อมูลเงา เป็นสิ่งสำคัญสำหรับองค์กรในการจัดลำดับความสำคัญของแนวทางในการพัฒนาโปรแกรมการศึกษาด้านความปลอดภัยทางไซเบอร์ที่มีประสิทธิภาพ ซึ่งมุ่งเน้นไปที่การสร้างความตระหนักรู้ในหมู่พนักงานเกี่ยวกับอันตรายของการจัดเก็บข้อมูลที่ไม่ปลอดภัยและมาตรการที่จำเป็นเพื่อป้องกันการสร้างขึ้น

นอกจากนี้ จำเป็นอย่างยิ่งที่จะต้องหลีกเลี่ยงการปฏิบัติต่อความปลอดภัยทางไซเบอร์เสมือนเป็นเหตุการณ์ที่เกิดขึ้นเพียงครั้งเดียวภายในองค์กรของคุณ ให้พิจารณาใช้เซสชันการฝึกอบรมเล็กๆ น้อยๆ บ่อยครั้งซึ่งกระจายกันตลอดทั้งปี โดยมุ่งเน้นที่การรับรู้ข้อมูลเงา การปกป้องข้อมูลที่เก็บไว้อย่างปลอดภัย และการรักษาสินทรัพย์ข้อมูลที่สำคัญจากภัยคุกคามที่อาจเกิดขึ้น

ข้อมูลเงาถือเป็นความเสี่ยงด้านความปลอดภัยครั้งใหญ่

มีความจำเป็นที่จะต้องบรรเทาอันตรายที่อาจเกิดขึ้นจากข้อมูลที่ไม่ได้รับการควบคุมเพื่อให้มั่นใจในความปลอดภัยของข้อมูลที่เป็นความลับ ข้อมูลที่อยู่นอกเหนือขอบเขตของบริษัทอาจเสี่ยงต่อการถูกบุกรุก การโจมตีทางไซเบอร์ และการเปิดเผยโดยไม่ได้รับอนุญาต เหตุการณ์ดังกล่าวอาจส่งผลให้เกิดผลกระทบทางกฎหมาย เป็นอันตรายต่อชื่อเสียง และความศรัทธาของผู้บริโภคที่พังทลาย

การจัดการข้อมูลเงามีความสำคัญสูงสุดในการรับประกันความปลอดภัยทางไซเบอร์ที่ครอบคลุม