4月16日訊 美國(guó)政府機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)中部署了大量未經(jīng)組織許可的計(jì)算機(jī)設(shè)備，這種現(xiàn)象被稱為“Shadow IT”(“影子IT”)。因此，需要變更價(jià)值數(shù)億美元的合同。

什么是影子IT

美國(guó)國(guó)土安全部(DHS)官員凱文-考克斯上周在McAfee安全創(chuàng)新峰會(huì)上表示，某些部門和機(jī)構(gòu)部署的設(shè)備超出預(yù)期數(shù)倍，整個(gè)政府機(jī)構(gòu)平均超出比高達(dá)40%以上。

一位知情人士表示，這種現(xiàn)象令人沮喪。持續(xù)診斷和監(jiān)控(Continuous Diagnostics and Monitoring，CDM)是DHS資助的政府采購(gòu)計(jì)劃，為美國(guó)聯(lián)邦部門和機(jī)構(gòu)網(wǎng)絡(luò)采購(gòu)并安裝安全工具。CDM工具在聯(lián)邦網(wǎng)絡(luò)上發(fā)現(xiàn)了打印機(jī)、電腦、電視機(jī)、恒溫器和其它環(huán)境傳感器等各類設(shè)備，甚至還包括Xbox等游戲設(shè)備。

美國(guó)政府機(jī)構(gòu)存在大量“影子IT” 設(shè)備 部分造成嚴(yán)重資源浪費(fèi) - E安全

聯(lián)邦政府官員稱CDM代表新的網(wǎng)絡(luò)安全方法。有人認(rèn)為CDM體現(xiàn)出一種“范式轉(zhuǎn)變”，由年度或周期性清單方法轉(zhuǎn)變?yōu)閷?shí)時(shí)了解政府網(wǎng)絡(luò)的方式。

考克斯表示，在投標(biāo)過程中，作為主要承包商的4個(gè)大型系統(tǒng)集成商取得合同之前，每個(gè)聯(lián)邦機(jī)構(gòu)設(shè)立了“閱覽室”，可供廠商了解機(jī)構(gòu)的內(nèi)部網(wǎng)絡(luò)信息，方便他們提出建議。這名知情人士透露，一旦建議被接受，機(jī)構(gòu)就會(huì)放款并安裝工具。許多機(jī)構(gòu)官員和承包商發(fā)現(xiàn)，規(guī)劃與結(jié)果之間存在“三角洲”地帶。

管理缺失是造成影子IT的重要因素

考克斯解釋稱，首席信息官辦公室管控缺失，首席信息官(CIO)竟然對(duì)所有影子IT不知情，這本身就說明安全問題令人堪憂。而且，項(xiàng)目辦公室或未向任何人報(bào)告，所有這些不同的部門(機(jī)構(gòu)內(nèi)部)可能都會(huì)運(yùn)用不能一定確保安全的IT技術(shù)。

即便如此，所有這些額外的設(shè)備還是出現(xiàn)在了機(jī)構(gòu)網(wǎng)絡(luò)中，這些機(jī)構(gòu)安裝和管理CDM網(wǎng)絡(luò)安全工具需要更大的工作量，遠(yuǎn)遠(yuǎn)超過廠商的預(yù)期。

考克斯表示，DHS必須努力尋找適合的資助方式，某些機(jī)構(gòu)的工作量遠(yuǎn)遠(yuǎn)超出預(yù)期。他指出，必須變更合同，DHS必須調(diào)整經(jīng)費(fèi)，將資金用在刀刃上。他回避透露出具體金額，但表示，此舉影響了價(jià)值數(shù)億美元的合同。CDM項(xiàng)目經(jīng)理已經(jīng)了解了每個(gè)機(jī)構(gòu)和部門的真實(shí)底線。簽署下一輪合同之前，官員會(huì)吸取教訓(xùn)。

同時(shí)，他也拒絕透露影子IT現(xiàn)象最嚴(yán)重的機(jī)構(gòu)。知情人士透露，影子IT設(shè)備數(shù)量最多的機(jī)構(gòu)可能是操作性偏強(qiáng)的機(jī)構(gòu)，因?yàn)檫@些機(jī)構(gòu)更側(cè)重完成任務(wù)，而非管理IT變革。

無論如何，這種情況讓機(jī)構(gòu)領(lǐng)導(dǎo)人陷入兩難境地，因?yàn)镃DM要進(jìn)入階段3才會(huì)將未經(jīng)授權(quán)的設(shè)備踢出網(wǎng)絡(luò)，或應(yīng)對(duì)這些風(fēng)險(xiǎn)。也就是說，要等到今年10月2018財(cái)年才能開始，甚至可能還要多等上1年多。

現(xiàn)如今，領(lǐng)導(dǎo)層已經(jīng)了解了所有額外設(shè)備，這不僅僅關(guān)乎安全習(xí)慣問題，這些設(shè)備給整個(gè)組織機(jī)構(gòu)帶來風(fēng)險(xiǎn)。

高級(jí)官員正在考慮，真要等到CDM第三階段嗎?還是應(yīng)立即采取行動(dòng)緩解或降低這些風(fēng)險(xiǎn)?