Shadow IT er et økende fenomen hos norske bedrifter. Det er ofte en negativ oppfatning rundt Shadow IT, og vi har tidligere skrevet om hvilke implikasjoner det kan ha, men i dette innlegget spør vi oss – er det egentlig så ille med Shadow IT?

Shadow IT – Hva er det og hva betyr det for deg?

Er sikkerhet viktigere enn kjernevirksomhet?

Økt lønnsomhet kommer ikke direkte av god IT-sikkerhet og liten grad av Shadow IT, men av økt output fra kjernevirksomheten til bedriften. Shadow IT må derfor sees på med et helhetlig forretningsmessig perspektiv for å finne ut hvilken løsning som er best for dere.

Den største implikasjonen ved Shadow IT er økt IT-risiko og manglende kontroll på selskapets data. Dette kan være frustrerende for IT-avdelingen, ledelsen og ansatte, men det må reflekteres over hvorfor Shadow IT oppstår. Når ansatte innfører Shadow IT er det nok ikke for å ødelegge for andre, og da må det da være noen fordeler med Shadow IT?

Fordelene med Shadow IT

Shadow IT oppstår når bedriftens standardiserte IT-systemer ikke dekker behovene ansatte måtte ha. Bedriften kan miste kontroll, men til gjengjeld har den ansatte fjernet en intern flaskehals og mest sannsynlig økt egen produktivitet og tilfredshet. Langsiktig kan dette øke både inntekt og bunnlinje.

Selvhjelp rundt IT-problemer i bedrifter hender relativt sjelden da kulturen ofte er slik at “IT-avdelingen bare fikser det”. Shadow IT er motstykket til dette, og er et resultat av selvhjelp og at de ansatte tar eierskap i IT-problemer og -løsninger. Med en IT-kultur som fokuserer på selvhjelp kan ansatte selv eksperimentere med nye teknologier og løsninger som kan føre til økt teknologisk innovasjon og raskere vekst. Dette må selvfølgelig gjøres på en sikker måte og innenfor bestemte rammer.

Angrip Shadow IT på riktig måte

Hvis Shadow IT er tilstede hos dere må det tas stilling til, uavhengig om dere ønsker å bli kvitt det eller stimulere det. Det viktigste er å lytte til brukerne av IT-systemene slik at sluttresultatet gir fornøyde ansatte og økt produktivitet.

Et alternativ for å få bukt med Shadow IT og samtidig gi ansatte en moderne og god IT-opplevelse er Dual-Speed IT. Det betyr at bedriften har to parallelle løp for IT-systemer. Det ene løpet baserer seg på “hvordan ting alltid har vært”, mens det andre løpet fokuserer på innovative og moderne løsninger. Dette kan føre til at de som ønsker et mer moderne IT-hverdag velger det innovative løpet istedenfor å innføre egne, uoffisielle løsninger.

Trenden med Shadow IT vil fortsette, da teknologien utvikler seg i rekordfart og bedrifter ikke alltid kan implementere den mest innovative løsningen. Det viktigste er å jobbe med brukerne som bruker systemene, ikke mot de.

Ta kontakt for rådgivning rundt Shadow IT

Sikkerhet på nett og trygge passord er blitt viktigere enn noen gang. Følg disse fem rådene for å unngå datainnbrudd og finn ut hvor sikkert ditt passord er!

1. Lengde slår kompleksitet

Snutten over, lånt av Intel,  illustrerer hvor lang tid det vil ta å knekke et passord. Teksten leser «Complexity < Length», altså at Lengde på passordet er viktigere enn hvor avansert det er.

2. Lett for deg, vanskelig for andre

Du må finne balansen på hva som er lett for deg å huske, men vanskelig for de rundt deg. Det kan være fristende å velge fødselsdatoer eller navn på ektefeller eller barn, men dette kan ofte uvedkommende gjette seg frem til.

3. Bruk spesialtegn

Spesialtegn utgjør stor forskjell. Dette innebærer utropstegn, komma, og lignende. Selv om lengde er viktigere enn kompleksiteten, er det vanskeligere å knekke et passord med spesialtegn.

4. Bytt passord med jevne mellomrom

Selv om det kan gjøre det vanskeligere å huske passordene, anbefaler vi alle å bytte passord på kritiske kontoer med jevne mellomrom, helst hver 3. eller 6. måned.

5. 1Password

1Password er en app som kan lage og huske passord, kortinformasjon, m.m.. Videre synkroniseres all informasjonen på alle dine enheter hvor appen er satt opp. Les mer om 1Password her.

Innkjøp av Mac til din bedrift er en stor investering og å fortsette med PC kan være enklere å få gjennom til økonomiavdelingen. Men med et helhetlig og langsiktig syn på investeringen, kan Mac faktisk være en rimeligere løsning for dere.

Dyrere, men enklere utrulling

En Mac har en høyere innkjøpspris enn en PC, og mange er derfor av oppfatning av Mac er dyrere for bedriften. Sannheten er at innkjøpsprisen ikke viser det helhetlige kostnadsbildet for investeringen. En Mac er raskere og rimeligere å ta i bruk da den allerede inneholder forhåndsinstallert operativsystem og er enklere å sette opp. En ny PC trenger ofte Windows-lisenser i tillegg til maskinen, som også gjør at IT-avdelingen må installere dette før utrulling.

Apple har kun ett operativsystem, og dette inneholder viktige funksjoner som beskyttelse mot malware/virus, kryptering og brannmur. De samme funksjonene i Windows krever den mest avanserte versjonen av Windows – som er vesentlig dyrere enn standardutgaven.

Billigere i drift

Etter innkjøp av maskin og programvare samt tid brukt på installasjon av operativsystem og oppsett vil kostnadsforskjellen være noe utjevnet, men det er etter utrullingen kostnadsbildet virkelig endres i Macens favør. Teknologibedriften IBM, hvor over 100 000 ansatte bruker Mac, rapporterer at en PC er 3 ganger så dyr i drift som en Mac. Dette kommer blant annet av at kun 3,5% av Mac-brukere kontakter IT-avdelingen, mens tallet er 40% for PC-brukere. Dette gjør at kun 25 ansatte kunne supportere 30 000 Macer hos IBM i 2015.

IBM melder om en besparelse på opptil USD 535 hvert fjerde år for hver Mac de har rullet ut til fordel for PC. Dette inkluderer alt fra innkjøp, oppsett, vedlikehold og levetid, så når alt kommer til alt, er Mac billigere fra et driftsmessig perspektiv.

Økt sikkerhet

Selv om bruken av Mac og macOS øker, kjører omkring 90% av verdens datamaskiner Windows. Det høye antallet Windows-maskiner gjør at Windows er vesentlig mer attraktivt for hackere, virus-forfattere og datakriminelle, og flertallet av angrep skjer mot Windows-maskiner. Et eksempel er Wannacry-angrepet som slo flere hundre tusen Windows-maskiner ut av spill i 2017.

Wannacry-angrepet og andre angrep har kostet norske bedrifter millioner av kroner de siste årene. I følge Mørketallundersøkelsen 2018 var gjennomsnittskostnaden 54 000 for sikkerhetsbrudd i 2017, og de hardest rammede bedriftene estimerte kostnader på rundt 2 millioner kroner. Disse angrepene kan selvfølgelig også skje dersom man bruker Mac, og er ofte relatert til IT-sikkerhetskultur, men sannsynligheten for å bli rammet reduseres kraftig med tilfredsstillende IT-sikkerhet.

Mer enn kostnader må vurderes

I mange tilfeller blir altså besparelsen ved innkjøp av PC kontra Mac spist opp av kostnader til oppsett, vedlikehold og drift. Likevel bør ikke kostnaden være den eneste vurderingen som legges til grunn ved kjøp av ny maskinvare. Vurderingen bør også inneholde de ansattes fornøydhet og på hvilken enhet de er mest produktive. Dette er ikke medregnet i IBM´s studie, eller denne artikkelen, og er individuelt fra bedrift til bedrift.

Programvarekomptibilitet har tidligere vært et tungt argument når det kommer til valget mellom PC og Mac, men det er ikke lenger tilfellet. Flere og flere applikasjoner flyttes til skyen og kan kjøres på alle operativsystemer. Både Mac og PC støtter de aller fleste industristandarder og hindringene for å ha Mac og PC i et blandet miljø blir stadig færre.

Er dere usikre på om Mac eller PC er riktig for dere? Ta kontakt, så hjelper vi dere med valget!

Les om hvordan det gikk da vi implementerte Mac for Film & Kino høsten 2018.

For mange SMBer er strategien for en god IT-sikkerhetskultur et møte eller to i året for å informere om gjeldende IT-instruks og -policy. Dette forankrer hverken en god IT-sikkerhetskultur eller de ansattes forståelse for sin rolle i IT-sikkerheten.

Hvorfor er IT-sikkerhetskultur viktig?

Et eksempel på viktigheten av en god IT-sikkerhetskultur ble presentert i en rapport fra Nasjonal Sikkerhetsmyndighet. De gjorde en test mot en virksomhet i norsk statsforvaltning hvor det ble simulert et “e-postangrep”. Resultatet er illustrert i figuren under:

90% av mottakerne klikket på linken, som i noen tilfeller er nok til at andre kan få kontroll over den aktuelle maskinen. Dette, i kombinasjon med at nesten hver femte bedrift har opplevd phishing eller andre sosiale manipulerings-angrep (Mørketallundersøkelsen 2018), fastslår viktigheten av en god IT-sikkerhetskultur.

Hvordan forankre en IT-sikkerhetskultur?

Kultur er noe som bygges opp over tid og er ofte et resultat av mange tilfeldige valg og holdninger. Denne kulturen bør ikke bli et resultat av tilfeldighetene og må utvikles, vedlikeholdes og oppmuntres.

Inkluder alle

En god sikkerhetskultur blir ikke skapt hvis ansatte blir sendt til IT-avdelingen eller IT-ansvarlig for et sikkerhetskurs. De vil da få oppfatning om at IT-avdelingen er ansvarlig for IT-sikkerheten, når det i virkeligheten er hele selskapets ansvar. Alle i selskapet, fra øverste leder til medarbeidere, må delta på eventer som styrker IT-sikkerhetskulturen. Et alarmsystem er lite verdt hvis én person alltid lar døren stå ulåst.

Opplæring

Som nevnt trykket 90 % på den tilsynelatende legitime linken under NSRs simulering. Hvis man hadde spurt de samme personene i forkant ville de nok sagt at de er forsiktige med hvilke linker de trykker på, og det blir tydelig at de ikke har nødvendig kunnskap. For at dette, og andre uønskede hendelser, skal unngås i ditt selskap, må ansatte læres opp. Flere og flere angrep baserer seg på såkalt “sosial manipulering”, og de ansatte må vite hvordan dette kan oppdages og håndteres.

Kortere og hyppigere seanser

Lange, større møter et par ganger i året kan virke avskrekkende på ansatte. I seanser hvor IT-sikkerhetskulturen skal styrkes, er det viktig at det er en lav terskel for å kunne stille spørsmål og delta i diskusjoner. Kortere og hyppigere seanser i mindre grupper vil ofte gjøre at flere er aktive i diskusjoner, som igjen gjør at alle får mer ut av seansen.

Videreutvikling og vedlikehold

Når dere har fått på plass en IT-sikkerhetskultur er det viktig å ikke se på arbeidet som ferdig. Truslene endrer seg hele tiden, og forsvaret må derfor også videreutvikles for å holde tritt. Utover videreutvikling må også kunnskapen hos ansatte vedlikeholdes. Dette gjøres ved å ha hyppige seanser, men den spesifikke policyen må dokumenteres gjennom en IT-instruks. Denne kan de ansatte lese hvis de har et spesifikt spørsmål eller for å forfriske kunnskapen.

Anerkjenn god etterlevelse

IT-sikkerhet er ikke alles favorittemne på arbeidsplassen, og det må ofte oppmuntring til for å få de ansatte motivert til å etterleve IT-instruksen. Ved hjelp av tekniske verktøy (som fjernadministrering) eller stikkprøver, kan man finne ut hvem som faktisk har et fokus på IT-sikkerhet, og gi anerkjennelse i form av en oppmerksomhet eller bonus.

Selv om du er under oppfattelsen at din bedrift er godt sikret, er det i mange tilfeller ikke helt riktig. Les mer om “The SMB Security Gap” her.

Trenger dere hjelp med IT-sikkerhetskulturen? Ta kontakt her