L'utilizzo autonomo di applicazioni SaaS, piattaforme di file sharing e strumenti di AI generativa può migliorare la produttività, ma anche esporre le aziende a rischi informatici. È il fenomeno dello Shadow IT aziendale, che riduce la visibilità del reparto IT e mette a rischio la protezione dei dati. Scopriamo come gestirlo attraverso policy, monitoraggio e soluzioni CASB (Cloud Access Security Broker), nel rispetto della sicurezza e della compliance GDPR.
Shadow IT: quando l'innovazione digitale sfugge al controllo aziendale
Con il termine Shadow IT si indica l’insieme di software, dispositivi, applicazioni e servizi tecnologici utilizzati all’interno di un’organizzazione senza una preventiva valutazione o autorizzazione da parte delle funzioni IT competenti.
Il fenomeno non riguarda necessariamente software illegali o malevoli. Al contrario, spesso coinvolge piattaforme diffuse e perfettamente legittime, che vengono adottate autonomamente dai dipendenti per rispondere a esigenze operative immediate.
Un collaboratore potrebbe, ad esempio, utilizzare un servizio gratuito di file sharing per trasferire documentazione a un fornitore, registrarsi a una piattaforma SaaS per organizzare le attività del proprio team oppure caricare un documento aziendale su uno strumento di AI generativa per sintetizzarne il contenuto.
In tutti questi casi, il problema non è necessariamente la tecnologia utilizzata, ma l’assenza di un processo che ne verifichi l’adeguatezza rispetto ai requisiti aziendali di sicurezza, riservatezza e protezione dei dati.
La semplicità di attivazione dei servizi cloud ha accelerato questa dinamica. Non è più necessario installare un programma sui dispositivi aziendali o richiedere l’intervento di un amministratore di sistema: spesso bastano un browser, un indirizzo email e pochi minuti per accedere a un nuovo strumento.
Di conseguenza, l’ecosistema digitale effettivamente utilizzato dall’azienda può diventare molto più ampio di quello ufficialmente conosciuto e gestito dal reparto IT.
Per le PMI, dove le risorse informatiche sono talvolta concentrate su un numero limitato di persone o affidate a fornitori esterni, questa distanza tra tecnologie autorizzate e strumenti effettivamente utilizzati può risultare particolarmente difficile da individuare.
I principali rischi dello Shadow IT per la sicurezza aziendale
L’adozione incontrollata di applicazioni introduce nuove esposizioni che riguardano non soltanto la sicurezza informatica, ma anche la governance, la continuità operativa e la capacità di proteggere le informazioni strategiche.
Perdita di visibilità sulle applicazioni e sui flussi informativi
Il primo rischio dello Shadow IT è la progressiva perdita di visibilità sull’ambiente digitale aziendale.
Se il reparto IT non conosce tutte le applicazioni utilizzate, non può valutare completamente quali servizi accedano ai dati, quali utenti dispongano di autorizzazioni e quali collegamenti siano stati creati con i sistemi aziendali.
Questa mancanza di controllo può generare situazioni in cui:
- dati aziendali vengono archiviati su piattaforme esterne non censite;
- applicazioni cloud mantengono accessi attivi anche dopo la conclusione di un progetto;
- account personali vengono utilizzati per attività lavorative;
- servizi SaaS ricevono autorizzazioni di accesso a documenti, email o altre risorse attraverso integrazioni applicative;
- documenti e informazioni vengono duplicati su ambienti differenti, rendendone più complessa la gestione.
Il problema diventa particolarmente rilevante quando si verifica un incidente informatico. Senza un inventario aggiornato delle applicazioni e delle relative dipendenze, ricostruire il percorso di un dato o determinare l’estensione di una compromissione può richiedere più tempo.
La visibilità IT aziendale rappresenta quindi un prerequisito della sicurezza: non è possibile governare in modo efficace risorse e servizi di cui non si conoscono esistenza, utilizzo e livello di esposizione.
Esposizione dei dati aziendali e perdita di controllo sulle informazioni
La condivisione non supervisionata dei dati costituisce uno degli aspetti più critici dello Shadow IT.
Attraverso servizi di file sharing, piattaforme collaborative e applicazioni SaaS non autorizzate, informazioni riservate possono essere trasferite all’esterno dei sistemi aziendali senza adeguate verifiche sui permessi di accesso, sulle modalità di conservazione e sulle garanzie offerte dal provider.
Il rischio riguarda diverse categorie di informazioni: dati di clienti e dipendenti, documentazione amministrativa, contratti, progetti, listini, credenziali, informazioni tecniche e proprietà intellettuale.
Nel settore manifatturiero, ad esempio, un dipendente potrebbe condividere con un fornitore file di progettazione, specifiche di produzione o documentazione tecnica attraverso un account cloud personale. Anche senza un attacco informatico, l’organizzazione potrebbe perdere la capacità di controllare chi accede a quei documenti, se esistono ulteriori copie e quando saranno eliminati.
La sicurezza del file sharing aziendale richiede quindi un modello che disciplini accessi, autorizzazioni, condivisioni esterne e ciclo di vita delle informazioni.
Spostare un file su un servizio cloud non significa automaticamente comprometterlo. Significa, però, introdurre un ulteriore ambiente di trattamento e conservazione che deve essere valutato e protetto.
Vulnerabilità, identità digitali e accessi non governati
Ogni nuova applicazione introduce una relazione con un fornitore tecnologico e può ampliare la superficie di attacco aziendale.
L’utilizzo di software non autorizzati può comportare controlli di autenticazione insufficienti, configurazioni non sicure, autorizzazioni eccessive o una gestione poco chiara degli accessi.
Un aspetto particolarmente delicato riguarda le integrazioni tra applicazioni SaaS. Attraverso protocolli di autorizzazione come OAuth, un utente può concedere a un’applicazione esterna determinati permessi sul proprio account aziendale.
Se tali autorizzazioni non vengono verificate, il servizio potrebbe mantenere la possibilità di accedere a risorse e informazioni anche senza richiedere nuovamente le credenziali dell’utente.
La gestione del rischio informatico SaaS deve pertanto comprendere non soltanto l’analisi della piattaforma, ma anche il controllo delle identità digitali, dei privilegi, delle integrazioni e dei meccanismi di revoca degli accessi.
Strumenti come l’autenticazione multifattore (MFA), il Single Sign-On (SSO) e le soluzioni di Identity and Access Management (IAM) consentono di rafforzare la protezione, purché siano integrati in una strategia coerente di gestione delle applicazioni.
Dipendenza da fornitori esterni e continuità operativa
Lo Shadow IT può creare anche dipendenze operative difficili da identificare.
Se un reparto utilizza stabilmente un’applicazione non censita per gestire attività, clienti o documentazione, l’indisponibilità del servizio potrebbe interrompere processi aziendali senza che esistano procedure alternative o meccanismi di recupero delle informazioni.
Inoltre, l’assenza di una valutazione preventiva rende più difficile verificare la solidità del fornitore, le politiche di backup, le modalità di esportazione dei dati e le condizioni previste per la cessazione del servizio.
La sicurezza delle applicazioni cloud non può quindi essere separata dalla gestione dei fornitori e dalla pianificazione della continuità operativa.
Shadow IT aziendale: esempi concreti, rischi e misure di prevenzione
Lo Shadow IT può manifestarsi attraverso strumenti e modalità differenti, ciascuno con specifiche implicazioni per la sicurezza aziendale. La tabella seguente riassume alcuni degli scenari più comuni e le principali misure di prevenzione.
| Scenario | Rischio per l'azienda | Misure di prevenzione |
|---|---|---|
| SaaS non autorizzati | Accessi non controllati, dispersione delle informazioni e dipendenza da fornitori non verificati | Inventario applicativo, valutazione dei fornitori e gestione centralizzata degli accessi |
| File sharing non supervisionato | Condivisione di documenti riservati e perdita di controllo sui permessi | Piattaforme autorizzate, classificazione dei dati e controlli DLP |
| AI generativa non approvata | Esposizione di informazioni sensibili, proprietà intellettuale e dati personali | Policy AI, formazione e verifica delle condizioni di trattamento dei dati |
| Integrazioni cloud non verificate | Autorizzazioni eccessive e accesso a risorse aziendali da parte di applicazioni terze | Revisione dei permessi OAuth, IAM e principio del privilegio minimo |
| Applicazioni cloud non censite | Scarsa visibilità sui servizi utilizzati e difficoltà di rilevamento delle anomalie | Cloud Discovery, soluzioni CASB e monitoraggio continuo |
Shadow AI: i nuovi rischi dell'intelligenza artificiale generativa in azienda
L’introduzione degli strumenti di intelligenza artificiale generativa ha aggiunto una nuova dimensione allo Shadow IT.
Con Shadow AI si indica l’utilizzo di applicazioni e servizi di intelligenza artificiale non valutati o autorizzati dall’organizzazione, spesso adottati autonomamente dai dipendenti per accelerare attività quotidiane.
Assistenti conversazionali, piattaforme per la generazione di testi, sistemi di analisi documentale e strumenti di programmazione assistita possono offrire benefici significativi in termini di efficienza. Tuttavia, il loro utilizzo richiede particolare attenzione alla natura delle informazioni condivise.
Quando un dipendente inserisce dati aziendali in una piattaforma AI esterna, tali contenuti possono essere elaborati e conservati secondo condizioni contrattuali e tecniche che variano in base al provider, al servizio e al piano utilizzato.
È quindi necessario verificare quali dati vengano trattati, per quanto tempo siano conservati, se possano essere utilizzati per migliorare o addestrare i modelli e quali controlli siano disponibili per limitarne l’utilizzo.
Il rischio non riguarda esclusivamente la riservatezza degli input. L’integrazione dell’AI con repository documentali, email e sistemi aziendali può ampliare le conseguenze di permessi eccessivi o configurazioni non adeguate.
Inoltre, gli output dei sistemi generativi possono contenere informazioni inesatte o essere influenzati da contenuti manipolati, come nel caso degli attacchi di prompt injection.
Per questo motivo, il controllo dell’uso dell’AI in azienda dovrebbe comprendere la selezione delle piattaforme consentite, la classificazione delle informazioni utilizzabili, la gestione delle integrazioni e la verifica degli output nei processi più critici.
L’obiettivo non è impedire l’adozione dell’intelligenza artificiale, ma creare condizioni sicure per utilizzarla senza esporre dati, processi e patrimonio informativo a rischi non valutati.
Shadow IT e GDPR: quali implicazioni per la protezione dei dati?
Quando le applicazioni non autorizzate trattano dati personali, lo Shadow IT assume anche una dimensione normativa.
Il Regolamento Generale sulla Protezione dei Dati (GDPR) richiede alle organizzazioni di adottare misure tecniche e organizzative adeguate alla natura dei trattamenti e ai rischi per i diritti e le libertà delle persone.
Il principio di accountability, o responsabilizzazione, prevede inoltre che il titolare del trattamento sia in grado di dimostrare il rispetto degli obblighi applicabili.
L’utilizzo di piattaforme SaaS non supervisionate può rendere più difficile garantire questa capacità, soprattutto quando l’azienda non dispone di informazioni complete sui servizi coinvolti e sui dati trattati.
Tra gli aspetti da considerare rientrano:
- Finalità e minimizzazione dei dati: verificare che le informazioni condivise siano necessarie e coerenti con lo scopo del trattamento.
- Rapporti con i fornitori: accertare il ruolo del provider e, quando opera come responsabile del trattamento, disciplinare il rapporto secondo l’articolo 28 del GDPR.
- Sicurezza del trattamento: adottare misure appropriate ai sensi dell’articolo 32 per proteggere riservatezza, integrità e disponibilità delle informazioni.
- Trasferimenti internazionali: verificare eventuali trasferimenti di dati personali verso Paesi extra SEE e le garanzie richieste dal GDPR.
- Conservazione e cancellazione: conoscere i tempi di retention, le modalità di eliminazione dei dati e le condizioni di restituzione delle informazioni al termine del servizio.
L’utilizzo di un software non autorizzato non determina automaticamente una violazione del GDPR. Può però comportare trattamenti non adeguatamente valutati, documentati o protetti.
In caso di incidente che coinvolga dati personali, l’organizzazione deve inoltre valutare se ricorrano gli estremi di un personal data breach e applicare, quando previste, le procedure di notifica e comunicazione.
È importante distinguere la protezione dei dati personali dalla tutela complessiva del patrimonio informativo. Progetti industriali, formule produttive, informazioni commerciali e know-how possono richiedere adeguati controlli di sicurezza anche quando non contengono dati personali e non ricadono, per tale motivo, nell’ambito di applicazione del GDPR.
Per costruire una governance efficace, compliance e protezione delle informazioni aziendali devono quindi essere affrontate come dimensioni complementari della gestione del rischio.
Come individuare lo Shadow IT: dalla mappatura al monitoraggio continuo
La prevenzione dello Shadow IT parte dalla conoscenza effettiva delle applicazioni e dei servizi utilizzati.
Una verifica limitata ai software installati sui dispositivi aziendali non è più sufficiente, poiché molte piattaforme SaaS sono accessibili direttamente attraverso il browser e possono essere utilizzate anche da dispositivi esterni alla rete aziendale.
Occorre quindi costruire un processo continuativo di identificazione, classificazione e valutazione delle applicazioni cloud.
Mappare i servizi utilizzati
La prima attività consiste nella creazione di un inventario che comprenda applicazioni autorizzate, servizi non ancora valutati e strumenti individuati attraverso le attività di monitoraggio.
La raccolta delle informazioni può coinvolgere diverse fonti: log di firewall e proxy, sistemi di monitoraggio delle connessioni, strumenti di sicurezza degli endpoint, piattaforme di gestione delle identità, autorizzazioni OAuth e analisi dei servizi acquistati dai diversi reparti.
È utile affiancare agli strumenti tecnici un confronto diretto con le funzioni aziendali, per comprendere quali applicazioni vengono utilizzate e quali esigenze operative hanno motivato la loro adozione.
Il solo monitoraggio del traffico di rete, infatti, non garantisce una conoscenza completa dei dati condivisi o delle attività svolte all’interno delle applicazioni.
Classificare le applicazioni in base al rischio
Una volta individuati i servizi, è necessario valutarli secondo criteri coerenti con le priorità aziendali.
Tra gli elementi più rilevanti rientrano l’affidabilità del provider, le certificazioni disponibili, le modalità di autenticazione, i permessi concessi, le misure di cifratura, le categorie di dati trattati e le condizioni contrattuali.
La classificazione permette di distinguere le applicazioni che possono essere autorizzate da quelle che richiedono controlli aggiuntivi o devono essere sostituite con soluzioni più adeguate.
L’obiettivo non è produrre un semplice elenco di software, ma costruire una visione aggiornata delle dipendenze digitali e dei rischi associati.
Mantenere aggiornata la visibilità IT
La mappatura iniziale deve essere accompagnata da attività periodiche di revisione.
Nuove applicazioni possono essere introdotte, servizi esistenti possono modificare funzionalità e condizioni di utilizzo, mentre le autorizzazioni degli utenti possono cambiare nel tempo.
Un modello di monitoraggio continuo consente di rilevare queste variazioni, aggiornare l’inventario e intervenire quando emergono nuove esposizioni.
Policy aziendali: definire regole chiare per SaaS, file sharing e AI
L’adozione di tecnologie di controllo deve essere accompagnata da una governance organizzativa adeguata.
Una policy per l’utilizzo degli strumenti IT dovrebbe stabilire quali servizi possono essere impiegati, come richiedere l’approvazione di nuove applicazioni e quali informazioni possono essere condivise con piattaforme esterne.
In particolare, una policy efficace dovrebbe disciplinare:
- Catalogo delle applicazioni autorizzate: individuare gli strumenti approvati per collaborazione, archiviazione, file sharing e utilizzo dell’AI.
- Processo di valutazione dei nuovi servizi: definire modalità e responsabilità per richiedere, verificare e approvare nuove piattaforme.
- Classificazione dei dati: distinguere informazioni pubbliche, interne, riservate e critiche, associando a ciascuna categoria regole di trattamento e condivisione.
- Gestione degli accessi: prevedere autenticazione sicura, privilegi minimi, revisione delle autorizzazioni e revoca degli account non più necessari.
- Utilizzo dell’AI generativa: specificare quali dati possono essere inseriti nei sistemi AI, quali piattaforme sono approvate e quali verifiche sono richieste sugli output.
- Gestione del ciclo di vita dei servizi: stabilire responsabilità, revisioni periodiche, condizioni di rinnovo, restituzione e cancellazione dei dati.
Queste indicazioni devono tradursi in procedure comprensibili e applicabili nelle attività quotidiane.
Una policy eccessivamente restrittiva, priva di alternative praticabili, rischia infatti di incentivare ulteriormente l’utilizzo di strumenti non autorizzati.
Per questo motivo, alla definizione delle regole dovrebbe affiancarsi un percorso di formazione e Cybersecurity Awareness, capace di spiegare ai dipendenti non soltanto cosa sia consentito, ma soprattutto quali conseguenze possano derivare da una condivisione non controllata delle informazioni.
La sicurezza diventa più efficace quando le persone comprendono il rischio e dispongono degli strumenti necessari per lavorare correttamente.
Cloud Access Security Broker (CASB): controllare le applicazioni cloud senza bloccare l'innovazione
Tra le tecnologie che possono supportare la gestione dello Shadow IT assumono particolare rilevanza le soluzioni Cloud Access Security Broker (CASB).
Un CASB è una soluzione di sicurezza che permette di applicare controlli e policy all’utilizzo dei servizi cloud, contribuendo a migliorare la visibilità sulle applicazioni, proteggere i dati e governare gli accessi.
Il suo ruolo è particolarmente importante negli ambienti in cui utenti e dispositivi accedono a numerosi servizi SaaS, anche al di fuori del tradizionale perimetro aziendale.
A seconda dell’architettura adottata e delle integrazioni disponibili, un CASB può offrire diverse funzionalità.
Individuazione delle applicazioni non autorizzate
Attraverso l’analisi delle fonti di traffico supportate, le soluzioni CASB possono contribuire a identificare servizi cloud utilizzati dagli utenti e non presenti nell’inventario ufficiale.
Questa capacità di Cloud Discovery consente di conoscere meglio l’utilizzo effettivo delle piattaforme SaaS e di individuare servizi che richiedono ulteriori verifiche.
Controllo degli accessi e protezione dei dati
Le soluzioni CASB possono supportare l’applicazione di policy per limitare comportamenti considerati rischiosi, come il caricamento di determinate categorie di documenti su applicazioni non autorizzate.
Integrazioni con sistemi di Data Loss Prevention (DLP), piattaforme di identità e altri controlli di sicurezza possono contribuire a rafforzare la protezione delle informazioni e a rendere più coerente la gestione degli accessi.
Ad esempio, un’organizzazione può consentire l’utilizzo di una piattaforma cloud approvata, applicando restrizioni specifiche sul download o sulla condivisione esterna di documenti classificati come riservati.
Monitoraggio e applicazione delle policy
I CASB possono operare con modalità differenti, tra cui integrazioni API con i servizi supportati e controlli sul traffico o sulle sessioni instradate attraverso componenti dedicati.
Le integrazioni API permettono di ottenere informazioni e applicare determinate azioni sulle piattaforme collegate; i controlli inline possono invece intervenire su specifiche attività durante l’utilizzo delle applicazioni.
La copertura effettiva dipende però dalla soluzione, dalle applicazioni integrate, dalle sorgenti di telemetria e dalle modalità di accesso degli utenti.
Un CASB non garantisce automaticamente la visibilità su tutte le applicazioni né sostituisce una strategia complessiva di cybersecurity. Per essere efficace deve essere integrato con processi di governance, gestione delle identità, protezione degli endpoint e formazione.
Il suo valore consiste nel consentire all’azienda di adottare un modello di controllo selettivo, nel quale gli strumenti digitali possono essere utilizzati in base alla loro affidabilità e alla sensibilità dei dati trattati, anziché essere vietati indiscriminatamente.
Dallo Shadow IT alla governance digitale: sicurezza e innovazione possono convivere
Lo Shadow IT evidenzia una trasformazione nel rapporto tra organizzazioni e tecnologia.
L’adozione degli strumenti digitali non dipende più esclusivamente dalle decisioni centralizzate del reparto IT. Le singole funzioni aziendali hanno oggi accesso diretto a servizi capaci di rispondere rapidamente a esigenze operative, collaborative e produttive.
Contrastare questo fenomeno attraverso il solo divieto rischia di produrre un risultato opposto a quello desiderato: ridurre ulteriormente la visibilità sulle applicazioni effettivamente utilizzate.
Un approccio più efficace consiste nel costruire un modello di governance che unisca controllo e capacità di innovazione.
Il reparto IT può assumere un ruolo di supporto e indirizzo, collaborando con le diverse funzioni aziendali per valutare nuovi strumenti, definire requisiti di sicurezza e individuare soluzioni compatibili con le esigenze operative.
In questo modello, la gestione SaaS aziendale diventa un processo continuo, nel quale ogni applicazione viene valutata non soltanto per le sue funzionalità, ma anche per il livello di rischio che introduce, i dati che tratta e le dipendenze che genera.
La cybersecurity non rappresenta così un ostacolo all’innovazione, ma l’insieme di condizioni che permette all’azienda di adottare nuove tecnologie mantenendo il controllo sulle proprie risorse digitali.
Conclusione: ciò che non è visibile non può essere governato
Lo Shadow IT rappresenta una delle sfide della trasformazione digitale: servizi cloud, applicazioni SaaS e strumenti di intelligenza artificiale possono essere introdotti rapidamente nei processi aziendali, mentre i meccanismi di governance e protezione non sempre evolvono con la stessa velocità.
La risposta non può limitarsi all’individuazione dei software non autorizzati. È necessario costruire una capacità continuativa di conoscere le applicazioni in uso, valutare le esposizioni, controllare gli accessi e proteggere le informazioni lungo il loro intero ciclo di vita.
Mappatura, policy, formazione e tecnologie CASB rappresentano componenti complementari di questo percorso.
Per le organizzazioni, il risultato è una maggiore capacità di adottare nuove tecnologie in modo consapevole, riducendo le aree di rischio non governate e rafforzando la sicurezza del patrimonio informativo.
La vera evoluzione non consiste nel controllare ogni singola scelta tecnologica, ma nel creare un modello in cui innovazione, responsabilità e sicurezza procedano insieme.
Domande frequenti su Shadow IT aziendale
Che cos'è lo Shadow IT aziendale?
Lo Shadow IT è l’utilizzo di software, applicazioni cloud, dispositivi o altri servizi digitali senza la supervisione o autorizzazione delle funzioni IT competenti. Può comprendere strumenti di file sharing, piattaforme SaaS e servizi di intelligenza artificiale generativa adottati autonomamente dai dipendenti.
Quali sono i principali rischi dello Shadow IT?
I principali rischi comprendono perdita di visibilità sulle applicazioni, diffusione incontrollata delle informazioni, gestione inadeguata delle identità digitali, autorizzazioni eccessive e dipendenze da fornitori non valutati. Le conseguenze possono interessare sicurezza, compliance e continuità operativa.
Shadow IT e GDPR sono collegati?
Sì. Quando le applicazioni non autorizzate trattano dati personali, l’azienda deve verificare il rispetto dei requisiti GDPR, tra cui sicurezza del trattamento, rapporti con i fornitori, finalità del trattamento ed eventuali trasferimenti internazionali. L’utilizzo di un’applicazione non autorizzata non costituisce automaticamente una violazione, ma può introdurre rischi e criticità di conformità.
Come si possono individuare i software non autorizzati in azienda?
Attraverso la combinazione di inventario applicativo, analisi dei log di rete disponibili, monitoraggio degli endpoint, revisione delle integrazioni cloud e confronto con le funzioni aziendali. Le soluzioni CASB possono supportare la scoperta e la classificazione delle applicazioni SaaS, in base alla copertura offerta.
Un CASB è sufficiente per eliminare lo Shadow IT?
No. Un CASB può migliorare visibilità e controllo sui servizi cloud, ma deve essere integrato con policy aziendali, gestione delle identità, controlli di sicurezza, processi di valutazione dei fornitori e formazione degli utenti. La gestione dello Shadow IT è un’attività continuativa di governance, non un problema risolvibile con una singola tecnologia.
La tua azienda conosce davvero tutte le applicazioni che utilizza?
Una valutazione strutturata del rischio informatico è il primo passo per individuare criticità, verificare le policy e definire le priorità di intervento.
Con Perlustro Security, AESSE Soluzioni Informatiche supporta le aziende nell’analisi della sicurezza IT, delle vulnerabilità e delle procedure di protezione.
