幾十年來，CIO和IT經理們一直在尋找可靠的方法來尋找和壓制影子IT技術，他們意識到非法工具會帶來危險，包括企業安全、合規和工作流漏洞。

如今，越來越多的IT領導者開始用新的眼光看待它。他們逐漸了解到，研究秘密練習可以幫助他們收集線索，洞察最終用戶的需求和偏好，開發和部署授權的軟件和服務，從而提高員工的工作表現和滿意度。這里有7種方法可以讓你在潛伏的影子IT中獲得優勢。

1.理解為什么使用影子IT工具

許多員工都精通技術，能夠熟練地利用設備、軟件和應用程序來提高工作效率。“他們習慣于在個人生活中使用面向消費者的平臺，并希望將這種輕松和簡單的工作轉移到日常工作中，”惠普企業公司Aruba的副總裁兼首席技術專家Jon Green說。“任何公司授權的IT系統都會減緩進程，或者設置障礙，讓員工全天候工作，無論他們身在何處，都有可能被繞過。”

基礎設施管理軟件提供商solarwind的首席極客Leon Adatob表示，堅持使用一個或多個影子IT技術的員工只是想讓他們的工作順利、高效地完成。他解釋說:“如果這個過程團隊滿足了他們的需求，沒有人會在一個既定的過程或團隊中工作。”“但當它不存在的時候，無論是速度還是成本，都是團隊和個人開始尋找其他成功途徑的時候。”畢竟，Adato指出，員工主要是評估結果，而不是他們符合標準的程度，尤其是那些連累他們達不到目標的標準。

2.研究員工如何使用影子IT工具

如何處理影子IT工具最好的方法是讓用戶討論技術交付給他們的價值以及它幫助解決的具體問題。云安全平臺提供商Netskope的云策略主管Sean Cordero說:“這與我們IT團隊在評估新技術時的做法類似，只不過新技術已經成為一些業務工作流的一部分。”“如果你的團隊不能提供所需的功能，那么很可能是時候深入挖掘用例，并找出能夠滿足業務需求的解決方案。”

一個最大的問題就是員工秘密地使用公共云服務。員工經常共享文件，提供多個用戶文檔訪問，或者簡單地將重要文件備份到Dropbox或谷歌文檔等服務中。格林警告說:“雖然這些平臺隨處可見，使用起來也很方便，但它們可以將敏感數據置于危險之中。”他指出，面向企業的云平臺提供了更強大的安全性和使用控制，包括對文件進行加密的選項，這樣它們才能被有意的各方訪問。格林解釋說:“大型組織也很常見，他們可以實現自己的安全文件共享平臺，或者使用白標簽產品來定制那些為他們的業務提供最大價值的功能。”

3.確定陰影技術是否構成安全威脅

“第一步是確定它存在于組織中的什么陰影，”Grant Thornton咨詢服務實踐的負責人羅伊·尼克爾森建議。他說:“實現這一目標的方法有很多，其中之一就是監控網絡上的出站流量，因為大部分的陰影工具都涉及到軟件或基礎設施即服務能力。”“從那里，公司可以開始通過安全評估工作。”

uniper Networks的Juniper威脅實驗室負責人Mounir Hahad建議，企業應該像對待其他類型的軟件和服務一樣，對IT安全進行評估。他說:“影子IT技術本身并不需要不同的評估程序，但最需要評估的是確保可以觀察和減輕任何安全風險。”

在一個公司的網絡上，未知的用戶和設備會造成安全漏洞和增加風險。“使用網絡訪問控制系統為每個人提供實時信息，系統和設備連接到公司基礎設施是檢測影子IT技術的一種有效方法，”Green notes說。此外，用戶和實體行為分析(UEBA)工具可以幫助檢測和防止隱藏的網絡威脅，這些威脅已經滲透到外圍防御系統中。他說:“這些工具加在一起，對于保護企業資產來說，是一種巨大的雙重打擊。”

4.評估影子技術作為企業生產力工具的潛在價值

評估影子工具價值的最簡單和最原始的方法是與用戶討論技術。紐約地區獨立的安全架構師Pieter VanIperen說:“你的員工知道如何讓你的公司更有效率，他們的工作效率比任何供應商、銷售代表、安全專家或基礎設施團隊都要好。”“對待你的員工就像對待你的客戶一樣——給他們一個好的工作經驗，他們將會產生有效的工作，并且不需要通過陰影技術來隱藏。”

如果員工使用的是影子工具，很可能有一個很好的理由。他建議說:“找出為什么這些用戶會轉向陰影，以及存在哪些差距。”他說，更好的方法是調查員工關于潛在的新工具，讓他們嘗試各種選擇。他補充說:“確保這不是你獲得一個過于復雜的工具的過程。”

5.與影子技術的供應商合作開發企業級版本

基礎設施和服務提供商Logicalis的安全解決方案副總裁Ron Temske建議，如果它決定了將影子IT技術轉換為已批準的業務工具的一個可靠的業務原因，那么組織應該向開發人員介紹具體的需求和目標。他指出:“許多軟件供應商有不同版本的產品，或者愿意合作，以確保產品符合組織的要求。”

10年或15年前，大多數的消費者工具都是在企業層面的安全與合規標準中被忽視的。IT軟件和服務評論網站G2 Crowd的首席研究官Michael Fauscette認為:“這在今天的大多數工具中都是不真實的。”當然，也有例外，在這種情況下，它可以提供適當的[審查]工具來取代它們……或與供應商合作，改善問題領域的解決方案。

6.以一種保留影子版本原始收益的方式部署技術

一旦決定正式采用，它就應該把重點放在將影子技術變成一個完全可用和安全的狀態。“確保核心用例已經被覆蓋，否則就不麻煩了，”VanIperen建議。“一個不正確的工具只會給它帶來更多的陰影。”

將陰影工具帶到IT保護傘下的最快捷方式是與提供者對話，解釋組織的具體需求，然后確保提供者通過測試和試驗部署實現其承諾。然而，Codero警告說，我們也必須明白，在企業級版本中，有些影子工具是永遠無法提供的。“在傳統意義上支持他們幾乎是不可能的。”

7.時刻保持警惕

它必須時刻關注新的影子技術，因為早期的員工部署的工具被適當地處理。另一方面，那些發現自己業務被成功的影子IT技術打擊的組織應該考慮到，它可能存在很大的差距，因為它有能力快速且成本有效地交付可靠的解決方案。“這意味著缺乏溝通，并且缺乏信任，”Adato解釋說。“沒有任何個人、團隊、部門或企業能夠在這些潛在的原因存在的情況下繼續成功運作。”

最后，它絕不應該屈服和批準一個可疑的影子工具來滿足員工的需求。如果有安全漏洞或重大故障,對這一事件負責將最終取決于首席信息官和首席技術官,即使他們不是那些影子IT供應商的協議執行,為了維護企業的完整性，IT組織需要確保如果使用了影子IT技術，用以符合企業標準。