Odkrywanie chaosu: jak znaleźć Shadow IT w Microsoft 365

By Mirko Peters · 2026-08-11

Witamy ponownie w podcaście i w naszym trwającym cyklu szczegółowych omówień dotyczących utrzymywania środowisk w bezpiecznym, łatwym w zarządzaniu stanie i działających na najwyższym możliwym poziomie. Jeśli zarządzasz środowiskiem Micr…

Automatically translated with AI from the original post. Read the English original

Titelbild: Uncovering the Chaos: How to Find Shadow IT in Microsoft 365

Witamy ponownie w podcaście i w naszym trwającym dogłębnym omówieniu tego, jak utrzymywać środowiska bezpieczne, łatwe w zarządzaniu i działające na najwyższym poziomie. Jeśli zarządzasz dzierżawą Microsoft 365, wiesz już, że absolutna kontrola to ruchomy cel. Bez względu na to, jak rygorystyczne są Twoje bazowe zasady bezpieczeństwa, użytkownicy znajdą sposoby na wypełnienie luk, optymalizację codziennej pracy i wprowadzanie narzędzi zewnętrznych. Choć ta pomysłowość użytkowników zwiększa produktywność, to jednocześnie stwarza ogromne ryzyko: Shadow IT. Aby zgłębić ten temat i posłuchać żywej dyskusji o tym, jak uporać się z bałaganem w dzierżawie, koniecznie posłuchaj powiązanego odcinka: Wykrywanie Shadow IT w Microsoft 365.

W tym towarzyszącym wpisie blogowym rozwijamy tę rozmowę. Przeprowadzimy Cię przez kompleksową strategię odkrywania nieznanych aplikacji, ryzykownych uprawnień OAuth i niezarządzanych łączników, które ukrywają się na widoku. Korzystając z natywnych narzędzi Microsoft, możesz przejść od reaktywnej paniki do proaktywnego zarządzania, nie paraliżując produktywności organizacji.

Jak wygląda chaos

Zanim naprawisz problem, musisz wiedzieć, czego szukasz. Shadow IT w Microsoft 365 rzadko przypomina złośliwego hakera włamującego się frontowymi drzwiami. Zamiast tego wygląda jak wygoda. Przypomina zespół marketingu, który szybko uruchamia narzędzie do automatyzacji, albo kierownika, który nadaje szerokie uprawnienia błyszczącej nowej aplikacji kalendarza.

Typowe przejawy chaosu w dzierżawie to:

Nieoczekiwane boty Teams i łączniki Power Automate powiązane z osobistymi usługami.
Nadmiernie udostępnione linki SharePoint (dostęp dla każdego, kto ma link, może wyświetlać) oraz nieznani goście zewnętrzni, którzy pozostają w systemie długo po zakończeniu projektu.
Szerokie zakresy OAuth, takie jak aplikacje z uprawnieniem do „Odczytu wszystkich skrzynek pocztowych”, zatwierdzane przez dobrze myślących pracowników, którzy chcieli po prostu, aby narzędzie synchronizujące kalendarz działało.
Osierocone aplikacje należące do byłych pracowników, które wciąż po cichu synchronizują wrażliwe dane organizacji.

Poszukiwanie: natywne narzędzia, które ujawniają Shadow IT

Nie musisz kupować drogich pakietów firm zewnętrznych, aby uzyskać widoczność w dzierżawie. Microsoft udostępnia potężny zestaw natywnych funkcji diagnostycznych i bezpieczeństwa, które prawdopodobnie są już uwzględnione w Twoim poziomie licencji. Kluczem jest wiedza, gdzie szukać i o co pytać.

Wykrywanie Shadow IT w Microsoft Defender for Cloud Apps (MCAS): Analizuj wzorce ruchu, oceny ryzyka aplikacji i trendy użycia w całej sieci.
Dzienniki logowania i audytu w Entra ID (Azure AD): Sprawdź, kto wyraził zgodę na aplikację, kiedy to zrobił, skąd i na jakie konkretne zakresy.
Aplikacje dla przedsiębiorstw > Uprawnienia: Wylicz zarówno aplikacje zatwierdzone przez administratora, jak i zatwierdzone przez użytkownika, które są obecnie aktywne w dzierżawie.
Centrum administracyjne Power Platform: Wykryj niezarządzane łączniki Power Automate i niepożądane zautomatyzowane przepływy.
Raporty SharePoint/OneDrive: Zidentyfikuj anonimowe linki i miejsca intensywnego udostępniania zewnętrznego, zanim staną się wyciekami danych.

Wskazówka praktyczna: Zacznij badanie od aplikacji żądających zakresów obejmujących całą dzierżawę, takich jak Mail.Read, Files.Read.All, Sites.Read.All i offline_access, a także od wszystkich aplikacji zainstalowanych przez gości zewnętrznych.

Wyznacz granice (bez zatrzymywania procesów)

Gdy zobaczysz skalę problemu, pierwszym odruchem może być przestawienie każdego przełącznika na „Blokuj” i całkowite zablokowanie dzierżawy. Oprzyj się tej pokusie. Jeśli zbudujesz zbyt wysoki mur, użytkownicy po prostu znajdą sposoby, by go obejść, a problem Shadow IT jeszcze bardziej przeniesie się do podziemia. Zamiast tego musisz wyznaczyć mądre granice operacyjne.

Zasady zgody dla aplikacji: Domyślnie blokuj zgodę użytkowników, ale zezwalaj na wyjątki dla zweryfikowanych wydawców z zakresami o niskim wpływie. Żądania wyższego ryzyka kieruj bezpośrednio do przepływu pracy zatwierdzania przez dział IT, korzystając z ServiceNow lub Power Automate.
Dostęp warunkowy dla aplikacji: Wymagaj uwierzytelniania wieloskładnikowego, zgodnych urządzeń i zaufanych lokalizacji dla każdego ryzykownego dostępu do aplikacji. Blokuj starsze lub nieobsługiwane typy klientów, jednocześnie odpowiednio wykluczając sale konferencyjne i konta usługowe.
Zarządzanie Power Platform: Wdróż zasady zapobiegania utracie danych (DLP), aby rygorystycznie rozdzielić łączniki biznesowe i niebiznesowe. Włącz przepływy uwzględniające rozwiązania (solution-aware) i ogranicz tworzenie niestandardowych łączników.
Zabezpieczenia udostępniania zewnętrznego: Ustaw domyślnie linki udostępniania na „osoby w mojej organizacji”, wymagaj obowiązkowych dat wygaśnięcia dla linków dla gości i wdróż rygorystyczny model sponsorowania zewnętrznych gości.

Jednotygodniowy sprint naprawczy (praktyczny poradnik)

Uporządkowanie dzierżawy nie musi być wieloletnim projektem transformacji IT. Dzięki ustrukturyzowanemu, etapowemu sprintowi naprawczemu możesz znacząco ograniczyć ryzyko w ciągu zaledwie pięciu do siedmiu dni.

Dzień 1–2: Analiza

Pobierz raport MCAS dotyczący Shadow IT oraz eksport uprawnień aplikacji z Entra ID.
Oznacz wszystkie aplikacje zatwierdzone przez administratora, zakresy obowiązujące w całej dzierżawie oraz aplikacje należące do gości.

Dzień 3: Ograniczenie

Wyłącz zgodę użytkowników na aplikacje (lub ogranicz ją ściśle do zweryfikowanych wydawców i zakresów o niskim ryzyku).
Utwórz zasady dostępu warunkowego dla poszczególnych aplikacji, wymuszające uwierzytelnianie wieloskładnikowe (MFA) i zgodne urządzenia dla ryzykownych zakresów.

Dzień 4: Oczyszczenie

Cofnij uprawnienia nieużywanym lub osieroconym aplikacjom. W przypadku krytycznych przepływów skontaktuj się z pierwotnymi właścicielami i w razie potrzeby przenieś je na konta usługowe.
Zaostrz domyślne ustawienia udostępniania zewnętrznego w SharePoint oraz terminy wygasania linków.

Dzień 5: Zarządzanie

Wdróż zautomatyzowany przepływ wniosków i zatwierdzeń dla nowych aplikacji.
Opublikuj katalog dozwolonych aplikacji wraz z jasnym formularzem „wniosku o wyjątek”.

Dzień 6–7: Monitorowanie i komunikacja

Włącz alerty o anomaliach dotyczących nowych zgód o wysokim ryzyku oraz nietypowych zachowań logowania.
Wyślij przyjazny przewodnik „Jak zgłosić aplikację” do swojej organizacji, wyraźnie wymieniając zablokowane działania wraz z zatwierdzonymi alternatywami.

Szablony zasad (szybki start)

Aby przyspieszyć konfigurację, oto dwa szablony zasad, które możesz wdrożyć w środowisku Microsoft 365 już dziś.

Zasady zgody na aplikacje:
- Zezwalaj: Zweryfikowany wydawca oraz zakresy z rygorystycznej listy bazowej (wyłącznie openid, profile, email i offline_access).
- Wymagaj zatwierdzenia: Wszelkie żądania dotyczące Mail.Read*, Files.Read*, Sites.Read*, Chat.Read*, Calendars.ReadWrite lub Directory.Read.All.
- Odmawiaj bezwarunkowo: Mail.ReadWrite, Files.ReadWrite.All oraz full_access_as_app.
Dostęp warunkowy (dla poszczególnych aplikacji):
- Jako docelowe aplikacje chmurowe uwzględnij ryzykowne aplikacje OAuth.
- Przyznawaj dostęp tylko wtedy, gdy obecne są MFA i zgodne urządzenie; całkowicie blokuj dostęp z logowań wysokiego ryzyka lub z nieznanych krajów.

Wskaźniki KPI potwierdzające skuteczność

Zespoły bezpieczeństwa uwielbiają metryki, ale kierownictwo chce dowodów, że działania przynoszą efekty. Użyj tych kluczowych wskaźników efektywności, aby śledzić postępy i wykazać realne ograniczenie ryzyka:

Stosunek wykrytych aplikacji Shadow do zatwierdzonych lub zablokowanych (cel: ponad 80% rozwiązanych w ciągu 30 dni).
Nowe aplikacje zgodę na które wyrazili użytkownicy miesięcznie (cel: liczba bliska zeru, a wszystkie nowe aplikacje kierowane przez oficjalny przepływ).
Przyznane zakresy wysokiego ryzyka (cel: absolutnie zero).
Linki udostępniania zewnętrznego ustawione na „wszyscy” (cel: redukcja o 90% w ciągu 60 dni).
Incydenty bezpieczeństwa bezpośrednio związane z aplikacjami firm trzecich (cel: redukcja o 40% kwartał do kwartału).

Cykl przeglądów (utrzymanie porządku)

Wykrywanie i usuwanie Shadow IT nie jest jednorazowym projektem, lecz stałą praktyką higieny. Ustal regularny cykl przeglądów, aby dzierżawa nie wróciła do chaosu.

Miesięcznie: Przeglądaj nowe zgody, sprawdzaj zakresy wysokiego ryzyka, audytuj osieroconych właścicieli i kontroluj instalacje aplikacji przez gości.
Kwartalnie: Przeglądaj odchylenia w zasadach DLP, audytuj środowiska Power Platform i analizuj raporty dotyczące udostępniania zewnętrznego.
Po zmianach organizacyjnych: Niezwłocznie przypisz nowych właścicieli aplikacji i ponownie zweryfikuj przeznaczenie oraz zakresy aplikacji, gdy pracownicy odchodzą lub zmieniają stanowiska.

Mapa szybkiego rozwiązywania problemów

Gdy coś przestaje działać lub uruchamia się alert bezpieczeństwa, potrzebujesz szybkich odpowiedzi. Zachowaj tę mapę pod ręką dla zespołów helpdesk i operacji bezpieczeństwa:

„Skąd pochodzi ta aplikacja?” Sprawdź Entra ID > Aplikacje przedsiębiorstwa > Dzienniki inspekcji pod kątem zdarzeń ConsentGranted.
„Dlaczego poczta nagle wyciekła?” Sprawdź zakresy aplikacji dla Mail.* i przejrzyj dzienniki inspekcji pod kątem zdarzeń MailItemsAccessed.
„Czy zewnętrzny gość podłączył nieautoryzowane narzędzie?” Przefiltruj aplikacje przedsiębiorstwa według właściciela równego Gość, cofnij dostęp aplikacji i ustal ścieżkę wniosku o sponsora.
„Czy przepływ Power Automate łączy się z osobistymi usługami?” Szukaj naruszeń zasad DLP, które wychwytują łączniki Non-Business, i przenieś je do zatwierdzonych, biznesowych alternatyw.

Zarządzanie zmianą, które użytkownicy akceptują

Powodzenie programu zarządzania shadow IT zależy niemal całkowicie od tego, jak użytkownicy go postrzegają. Jeśli będziesz zachowywać się jak „policja bezpieczeństwa”, wykorzystanie spadnie, a liczba obejść gwałtownie wzrośnie. Zamiast tego skup się na wsparciu zorientowanym na użytkownika.

Udostępnij łatwo dostępny katalog aplikacji, który wyróżnia zatwierdzone narzędzia i granice danych, jakie obejmują.
Zaoferuj bezpieczne, wspierane alternatywy, zanim zablokujesz popularne aplikacje używane przez użytkowników.
Utrzymaj prosty przewodnik po wnioskach – jedna strona opisująca, jakie informacje podać i jaki jest oczekiwany SLA, bardzo pomaga.
Publicznie celebruj sukcesy w ramach zatwierdzonych rozwiązań, na przykład pomyślne zastąpienie ryzykownego łącznika shadow IT bezpiecznym, oficjalnie wspieranym procesem biznesowym.

Najważniejsze wnioski dla kadry zarządzającej

Zanim przeniesiesz te strategie do swojego zespołu lub przedstawisz je kierownictwu, miej na uwadze te cztery kluczowe wnioski:

Shadow IT jest całkowicie nieuniknione, ale niekontrolowane ryzyko organizacyjne jest całkowicie opcjonalne.
Około 80% wykrywania i kontroli możesz zrealizować za pomocą wbudowanych narzędzi Microsoft, które prawdopodobnie już posiadasz.
Procesy przepływu pracy zawsze biją mury: inteligentne procesy zatwierdzania utrzymują wysoką produktywność i jednocześnie ograniczają ryzyko.
Śledź kilka istotnych wskaźników KPI, aby wyraźnie pokazać kadrze zarządzającej spadek ryzyka z kwartału na kwartał.

Dziękujemy za lekturę i słuchanie podcastu. Nie zapomnij zajrzeć do pełnego odcinka Detect Shadow IT in Microsoft 365, aby poznać jeszcze głębszy, audio opis tych taktyk. Zachowaj bezpieczeństwo, dbaj o czystość swoich dzierżaw i do zobaczenia w kolejnym odcinku!