Đội tự dùng công cụ trực tuyến ngoài danh mục được phép để xử lý dữ liệu khách hàng vì "nhanh hơn": dừng hay hợp thức hoá?

Rủi ro thực sự gồm: dữ liệu nằm ở nơi tổ chức không kiểm soát (quyền truy cập, sao lưu, xoá khi nhân sự nghỉ việc), có thể vi phạm cam kết bảo mật trong hợp đồng với khách hàng và quy định bảo vệ dữ liệu cá nhân, và nếu có sự cố thì tổ chức không biết để ứng phó. "CNTT bóng tối" thường xuất phát từ ý tốt — muốn làm việc hiệu quả — nhưng chuyển rủi ro sang người khác mà họ không biết.

Xử lý theo thứ tự

1. Dừng đưa thêm dữ liệu nhạy cảm lên công cụ chưa được phép, ngay hôm nay. Không cần quy lỗi; giải thích lý do.
2. Kiểm kê và báo cho bộ phận CNTT/bảo mật: công cụ nào, dữ liệu gì, ai có quyền truy cập, đã chia sẻ cho ai bên ngoài. Họ quyết định có cần xử lý như sự cố hay không.
3. Chuyển dữ liệu về hệ thống chính thức, thu hồi chia sẻ, xoá tài khoản theo hướng dẫn.
4. Nếu hợp đồng yêu cầu, thông báo cho khách hàng — quyết định này thuộc tổ chức, PM không tự che giấu.

Xử lý gốc rễ

• Ghi nhận nhu cầu thật: đội cần gì mà công cụ chính thức không đáp ứng (chia sẻ với bên ngoài, sửa chung thời gian thực)?
• Đề xuất CNTT đánh giá và phê duyệt một công cụ phù hợp, hoặc cấu hình lại công cụ hiện có. Hợp thức hoá là đi qua quy trình đánh giá, không phải "đã dùng rồi thì cho dùng tiếp".
• Đưa yêu cầu công cụ và bảo mật vào kế hoạch quản lý truyền thông ngay từ khởi động dự án cho các lần sau.

Nguồn:

• Wikipedia — Shadow IT
• Wikipedia — General Data Protection Regulation