Wykrywanie shadow IT w dzierżawie Microsoft 365

By Mirko Peters · 2026-08-11

Witamy ponownie w podcaście i towarzyszącym mu blogu z pogłębioną analizą! Jeśli kiedykolwiek zastanawiałeś się, co naprawdę dzieje się pod powierzchnią Twojego środowiska Microsoft 365, nie jesteś sam. Wiele organizacji działa w założeniu, że skoro dane są w chmurze, wszystko jest uporządkowane i bezpieczne. Niestety, rzeczywistość nowoczesnej współpracy w przedsiębiorstwie często przypomina cyfr

Automatically translated with AI from the original post. Read the English original

Witamy ponownie w podcaście i towarzyszącym mu blogu z pogłębioną analizą! Jeśli kiedykolwiek zastanawiałeś się, co naprawdę dzieje się pod powierzchnią Twojego środowiska Microsoft 365, nie jesteś sam. Wiele organizacji działa w założeniu, że skoro dane są w chmurze, wszystko jest uporządkowane i bezpieczne. Niestety, rzeczywistość nowoczesnej współpracy w przedsiębiorstwie często przypomina cyfrowy Dziki Zachód. Pracownicy chcą szybko załatwiać sprawy, a przy okazji często podłączają zewnętrzne narzędzia, udostępniają linki na prawo i lewo oraz nadają uprawnienia, których nadawać nie powinni. Powstaje w ten sposób ogromna luka w widoczności, a poufne dane firmowe są narażone na nieznane zagrożenia.

Dziś rozwijamy wątki z naszych ostatnich rozmów o zabezpieczaniu nowoczesnego środowiska pracy. Jeśli jeszcze tego nie słuchałeś, koniecznie sprawdź powiązany odcinek Connect Internal Data to Microsoft 365 Copilot Safely, w którym omawiamy, jak niezarządzane dane i niewidoczne aplikacje zewnętrzne mogą zamienić udane wdrożenie AI w koszmar bezpieczeństwa. W tym wpisie przejdziemy krok po kroku przez praktyczny plan działania: jak wykryć nieznane aplikacje, zarządzać ryzykownymi zakresami OAuth, kontrolować łączniki instalowane przez gości i wdrożyć uporządkowany cykl przeglądów z wykorzystaniem natywnych narzędzi Microsoft.

Jak wygląda chaos

Aby rozwiązać problem, najpierw trzeba mu spojrzeć w oczy. Kiedy audytujemy dzierżawy Microsoft 365, rzadko znajdujemy idealny ekosystem. Zamiast tego zwykle natrafiamy na specyficzną mieszankę cyfrowego chaosu, która narasta organicznie przez miesiące i lata. Oto jak ten chaos naprawdę wygląda:

• Nieoczekiwane boty w Teams i łączniki Power Automate powiązane z prywatnymi usługami.

• Nadmiernie udostępnione linki SharePoint („każdy może wyświetlać”) i nieznani goście zewnętrzni.

• Szerokie zakresy OAuth (np. Read all mailboxes) przyznane przez dobrze myślących użytkowników.

• Osierocone aplikacje należące do byłych pracowników, które nadal synchronizują poufne dane.

Kiedy użytkownicy podłączają pomocne narzędzie kalendarza lub aplikację do automatyzacji przepływów pracy, aby ułatwić sobie dni, rzadko zastanawiają się nad implikacjami dla bezpieczeństwa. Po prostu klikają „Akceptuj” w oknie zgody. Pomnóż to przez setki lub tysiące pracowników, a otrzymasz ogromną, niewidoczną powierzchnię ataku.

🔎 Poszukiwania: natywne narzędzia wykrywające shadow IT

Dobra wiadomość jest taka, że niekoniecznie musisz kupować drogie platformy firm trzecich, aby znaleźć takie zagrożenia. Microsoft oferuje solidne natywne narzędzia, które potrafią wykryć shadow IT od razu po wdrożeniu. Oto podstawowe narzędzia, których warto użyć, aby rozpocząć analizę:

• Microsoft Defender for Cloud Apps (MCAS) wykrywanie shadow IT: ruch sieciowy, oceny ryzyka aplikacji, trendy wykorzystania.

• Dzienniki logowania i audytu Entra ID (Azure AD): kto wyraził zgodę, kiedy, skąd i na jakie zakresy.

• Aplikacje dla przedsiębiorstw → Uprawnienia: wyliczenie aplikacji z zgodą administratora oraz z zgodą użytkownika.

• Centrum administracyjne Power Platform: niezarządzane łączniki i przepływy Power Automate.

• Raporty SharePoint/OneDrive: linki anonimowe i miejsca nasilonego udostępniania zewnętrznego.

Wskazówka: zacznij od aplikacji żądających zakresów obejmujących całą dzierżawę (Mail.Read, Files.Read.All, Sites.Read.All, offline_access) oraz aplikacji zainstalowanych przez gości.

🧱 Wyznacz granice (bez zrywania przepływów pracy)

Gdy już odkryjesz shadow IT w swojej dzierżawie, pierwszym odruchem może być wciśnięcie ogromnego przycisku „Zablokuj wszystko”. Nie rób tego. Jeśli z dnia na dzień zerwiesz przepływy pracy użytkowników, spotkasz się z buntem wobec wdrożenia, a pracownicy po prostu znajdą sprytniejsze, mniej widoczne sposoby obejścia Twoich kontroli. Zamiast tego wdróż mądre bariery ochronne, które zabezpieczą organizację, a jednocześnie utrzymają wysoką produktywność.

• Zasady zgody dla aplikacji

  • Domyślnie blokuj zgodę użytkowników; zezwalaj wyłącznie na zweryfikowanych wydawców i zakresy o niskim wpływie.

  • Kieruj żądania wyższego ryzyka do procesu zatwierdzania przez IT (ServiceNow/Power Automate).

• Dostęp warunkowy dla aplikacji

  • Wymagaj MFA, zgodnych urządzeń i zaufanych lokalizacji dla dostępu do ryzykownych aplikacji.

  • Blokuj starsze i nieobsługiwane typy klientów; odpowiednio wyklucz sale konferencyjne i konta usługowe.

• Zarządzaj Power Platform

  • Zasady Data Loss Prevention (DLP): rozdziel konektory biznesowe i niebiznesowe.

  • Włącz przepływy świadome rozwiązań; ogranicz niestandardowe konektory.

• Zabezpieczenia udostępniania zewnętrznego

  • Domyślnie udostępniaj osobom z Twojej organizacji; wymagaj daty wygaśnięcia dla linków dla gości; stosuj model sponsorowania gości.

🛠️ Jednotygodniowy sprint naprawczy (praktyczny poradnik)

Próba uporania się z ładem zarządzania od razu może prowadzić do paraliżu analitycznego. Aby to uporządkować, wykonaj ten ustrukturyzowany, jednotygodniowy sprint naprawczy i zapanuj nad bezpieczeństwem dzierżawy:

Dzień 1–2: Rozpoznanie

• Pobierz raport MCAS Shadow IT oraz eksport uprawnień aplikacji z Entra ID.

• Oznacz aplikacje z zgodą administratora + zakresami obejmującymi całą dzierżawę + aplikacje należące do gości.

Dzień 3: Ograniczanie

• Ustaw Zgoda użytkownika = Wyłączona (ewentualnie zezwól tylko zweryfikowanym wydawcom i aplikacjom o niskim ryzyku).

• Utwórz dostęp warunkowy (dla poszczególnych aplikacji): MFA + zgodne urządzenie dla ryzykownych zakresów.

Dzień 4: Porządkowanie

• Odwołaj nieużywane i osierocone aplikacje; skontaktuj się z właścicielami krytycznych przepływów; w razie potrzeby przenieś je.

• Zaostrz zewnętrzne udostępnianie w SharePoint oraz domyślne wartości wygaśnięcia linków.

Dzień 5: Zarządzanie

• Wdroż proces żądań i zatwierdzeń dla nowych aplikacji.

• Opublikuj katalog dozwolonych aplikacji oraz formularz „Zgłoś wyjątek”.

Dzień 6–7: Monitorowanie i komunikacja

• Włącz alerty o anomaliach (nowa zgoda wysokiego ryzyka, nietypowe logowania).

• Wyślij przyjazny przewodnik „Jak poprosić o aplikację”; wypisz zablokowane zachowania i alternatywy.

🧪 Szablony zasad (szybki start)

Aby przyspieszyć pracę nad konfiguracją, oto dwa szablony szybkiego startu, które możesz wdrożyć już dziś w środowiskach testowych:

• Zasada zgody na aplikacje:

  • Zezwalaj: zweryfikowany wydawca + zakresy z listy bazowej (wyłącznie openid, profile, email, offline_access).

  • Wymagaj zatwierdzenia: dowolne Mail.Read*, Files.Read*, Sites.Read*, Chat.Read*, Calendars.ReadWrite, Directory.Read.All.

  • Odmawiaj: Mail.ReadWrite, Files.ReadWrite.All, full_access_as_app.

• Dostęp warunkowy (dla poszczególnych aplikacji):

  • Aplikacje chmurowe docelowe = ryzykowna aplikacja OAuth.

  • Udziel = MFA + zgodne urządzenie; blokuj logowania wysokiego ryzyka / z nieznanych krajów.

📊 KPI potwierdzające, że to działa

Bezpieczeństwo to proces, a nie cel, a kierownictwo prędzej czy później zapyta, czy wysiłki przynoszą efekty. Użyj tych kluczowych wskaźników efektywności (KPI), aby śledzić postępy i raportować wyniki:

• Wykryte aplikacje typu shadow IT → stosunek zatwierdzonych do zablokowanych (cel: >80% rozwiązanych w ciągu 30 dni).

• Nowe zgody użytkowników na aplikacje miesięcznie (cel: bliski zeru; wszystkie przez proces żądań).

• Przyznane zakresy wysokiego ryzyka (cel: 0).

• Udostępnianie zewnętrzne linkami „dla każdego” (cel: -90% w ciągu 60 dni).

• Incydenty związane z aplikacjami zewnętrznymi (cel: -40% kw/kw).

🧾 Cykl przeglądów (utrzymaj porządek)

Jednorazowe oczyszczenie dzierżawy to za mało. Bez cyklicznego rytmu operacyjnego shadow IT wróci w ciągu kilku miesięcy. Wpleć te pętle przeglądów w regularne operacje IT:

• Miesięcznie: nowe zgody, zakresy wysokiego ryzyka, osierocení właściciele, instalacje aplikacji przez gości.

• Kwartalnie: dryf zasad DLP, audyt środowisk Power Platform, raport zewnętrznego udostępniania.

• Po zmianach w organizacji: przypisz ponownie właścicieli aplikacji; ponownie zweryfikuj cel aplikacji i jej zakresy.

🧯 Szybka mapa rozwiązywania problemów

Gdy pojawi się alert lub użytkownik natrafi na przeszkodę, potrzebujesz szybkich odpowiedzi. Miej tę mapę pod ręką, dla zespołów helpdesku i operacji bezpieczeństwa:

• „Skąd pochodzi ta aplikacja?” → Entra ID > Aplikacje dla przedsiębiorstw > Dzienniki audytu (ConsentGranted).

• „Dlaczego nagle wyciekła poczta?” → Sprawdź zakresy aplikacji dla Mail.* + audyt MailItemsAccessed.

• „Gość podłączył narzędzie?” → Filtruj aplikacje według Owner = Guest; cofnij dostęp i uruchom ścieżkę żądania sponsora.

• „Przepływy wykorzystywane do prywatnych usług?” → zasady DLP wychwytujące łącznik Non-Business; migruj go albo zatwierdź jego użycie.

🧠 Zarządzanie zmianą, którego użytkownicy nie będą znienawidzeni

Same mechanizmy techniczne to dopiero połowa sukcesu. Skuteczne bezpieczeństwo w dużej mierze opiera się na zgodności z kulturą organizacji. Jeśli utrudniasz życie użytkownikom, będą aktywnie obchodzić Twoje mechanizmy kontrolne. Zadbaj o płynne wdrażanie zmian, koncentrując się na wsparciu w przyswajaniu nowości:

• Opublikuj katalog aplikacji (zatwierdzone narzędzia i granice danych).

• Oferuj bezpieczne alternatywy, zanim zablokujesz popularne aplikacje.

• Przygotuj jednostronicowy przewodnik po wnioskach (jakie informacje podać i jaki jest oczekiwany czas realizacji, czyli SLA).

• Świętuj „zatwierdzone sukcesy” (np. zastąpienie ryzykownego łącznika bezpiecznym, wspieranym rozwiązaniem).

✅ Najważniejsze wnioski dla kadry zarządzającej

Wykrywanie shadow IT w Microsoft 365 może na pierwszy rzut oka wydawać się onieśmielające, ale przy metodycznym podejściu jest to w pełni rozwiązywalne wyzwanie. Pamiętaj o tych kluczowych wnioskach, przedstawiając plany kierownictwu:

• Shadow IT jest nieuniknione; nieskontrolowane ryzyko jest opcjonalne.

• Wykorzystuj wbudowane narzędzia Microsoft do 80% wykrywania i kontroli.

• Przepływ pracy ponad mur: zatwierdzanie utrzymuje produktywność i jednocześnie ogranicza ryzyko.

• Śledź kilka wskaźników KPI i pokazuj kwartał do kwartału spadek ryzyka.

Przejmując kontrolę nad zgodami aplikacji w dzierżawie, audytując udostępnienia zewnętrzne i wdrażając jasne ścieżki zarządzania, chronisz najbardziej wrażliwe dane firmy bez hamowania innowacji. Aby dowiedzieć się więcej o tym, jak te zabezpieczenia łączą się z nowoczesnymi narzędziami produktywności, takimi jak AI, koniecznie posłuchaj całego odcinka: Connect Internal Data to Microsoft 365 Copilot Safely. Zachowaj bezpieczeństwo, testuj dalej i do zobaczenia w kolejnym odcinku!