Теневое ИТ на 100 человек: как отделы заводят сервисы в обход сисадмина

Случайный аудит: откуда взялись эти двадцать сервисов?

Спросите любого системного администратора в компании на 100–150 человек: *«Сколько у вас веб-сервисов с авторизацией?»*.

Вам уверенно ответят: *«Пять. Ну максимум семь: почта, Active Directory, 1С, GitLab, Grafana, VPN и корпоративный диск»*.

А теперь откройте логи DNS-сервера или прокси за последнюю неделю.

Внезапно выяснится, что отдел маркетинга ведёт контент-план в Notion и Trello, аналитики выгружают сырые таблицы в сторонний SaaS-сервис, отдел продаж переписывается с клиентами в незарегистрированном чат-боте, а разработчики подняли себе на отдельной виртуалке собственный Portainer, чтобы «не ждать админов».

Добро пожаловать в Shadow IT (теневое ИТ) — явление, которое есть абсолютно в любой живой компании.

---

Почему сотрудники уходят «в тень»: корень проблемы

Первая реакция безопасника старой закалки — запретить всё к чёртовой матери:

• Заблокировать домены на уровне шлюза;
• Запретить установку стороннего ПО на рабочие станции;
• Написать грозный регламент с подписью под роспись.

Спойлер: это никогда не работает. Сотрудники просто начинают открывать нужные инструменты со своих личных смартфонов через мобильный интернет или раздавать Wi-Fi.

Люди создают Shadow IT не со зла и не ради саботажа. Они делают это потому, что официальные инструменты неудобны, а процесс получения доступа превращён в девять кругов бюрократического ада:

• Чтобы подключить новый сервис к Active Directory, сисадмину нужно согласовывать тикет две недели;
• Каждая новая система требует придумывать и запоминать очередной пароль;
• Внутренние корпоративные сервисы выглядят и работают как софт из 2005 года.

Бизнес требует результат «вчера». Если ИТ-отдел не даёт быстрый и удобный инструмент — бизнес берёт кредитку и оплачивает сторонний облачный сервис в обход ИТ.

---

Чем опасно теневое ИТ для компании

Пока всё работает спокойно, руководство не видит проблемы. Катастрофа наступает в трёх сценариях:

1. Увольнение сотрудника

Человек, на чью личную почту был зарегистрирован корпоративный аккаунт в сервисе аналитики или таск-трекере, уходит из компании. Доступа к учётке у администраторов нет, данные остаются у бывшего сотрудника, а подписка продолжает списываться с корпоративной карты.

2. Утечка паролей через сторонний сервис

Сотрудники используют один и тот же «любимый» пароль во всех сервисах. Когда база очередного бесплатного онлайн-конвертера PDF или таск-менеджера утекает в сеть, злоумышленники получают готовый пароль от корпоративного Active Directory.

3. Нарушение 152-ФЗ и коммерческой тайны

Персональные данные клиентов и финансовые отчёты улетают на сервера иностранных сервисов без шифрования и без согласия субъектов. При первой же проверке регулятора штрафы прилетают руководству.

---

Как победить Shadow IT без тирании и запретов

Бороться с теневым ИТ запретами бесполезно — нужно сделать официальный путь проще и привлекательнее теневого.

Стратегия состоит из 4 шагов:

1. Инвентаризация без наказаний

Объявите «амнистию сервисов». Попросите руководителей отделов честно перечислить все инструменты, которыми они реально пользуются в работе. Цель — не наказать, а взять под защиту.

2. Внедрение единого шлюза входа (SSO)

Дайте сотрудникам то, о чём они мечтают: один логин и один пароль для всего.

Когда вход в любой сервис компании происходит в один клик через корпоративный шлюз с поддержкой OpenID Connect:

• Пользователям больше не нужно помнить десятки паролей;
• Отделу маркетинга не нужно на коленке регистрировать учётные записи;
• Доступ активируется автоматически по факту включения в группу Active Directory.

3. Быстрый процесс онбординга новых систем

Если подключение новой системы к корпоративному шлюзу занимает у системного администратора 15 минут через стандартный протокол OIDC, а не три недели ковыряния XML в SAML — у отделов отпадает стимул уходить в подполье.

4. Автоматический отзыв сессий

Главная победа для безопасности: как только все нужные сервисы завязаны на единый шлюз, увольнение сотрудника перестаёт быть лотереей. Один клик в Active Directory — и доступ гаснет везде: и в кодовой базе, и в таск-трекерах, и во внутренних базах знаний.

---

Резюме

Shadow IT — это симптом, а не болезнь. Это сигнал о том, что существующая архитектура доступа отстала от потребностей бизнеса.

Сделайте единый вход удобным, избавьте сотрудников от парольного ада — и теневой зоопарк систем сам выйдет на свет под надёжное крыло вашего ИТ-периметра.