Iga organisatsioon teab, et tal on vari-IT. Probleemi konkreetseks teeb see arv: enamik organisatsioone käitab üle 1,000 pilverakenduse ja IT-l on tavaliselt ülevaade vähem kui 10 protsendist neist. Suurettevõtetel on keskmiselt 473 SaaS-rakendust; IT haldab otseselt vaid murdosa. Kaheksakümmend protsenti töötajatest kasutab oma töö tegemiseks loata rakendusi. Need arvud on igas uuringus ühtsed, sest nende peegeldav dünaamika on järjepidev: töötajad ja äriüksused võtavad kasutusele tööriistu, mis lahendavad koheseid probleeme kiiremini, kui IT-juhtimisprotsessid neid hinnata ja heaks kiita jõuavad.
2026. aasta vari-IT-teemalist vestlust domineerivad SaaS-i avastustööriistad, mis skannivad DNS-logisid, analüüsivad SSO OAuth-tokeneid, auditeerivad kuluaruandeid ja jälgivad võrguliiklust, et leida pilverakendusi, mida töötajad kasutavad ilma loata. Need tööriistad lahendavad probleemi SaaS-kihi ja lahendavad selle mõistlikult hästi. Mida nad ei lahenda ja millega ükski SaaS-i avastustööriist ei tegele, on teine vari-IT-probleem: kohandatud rakendused, dokumenteerimata partiiprogrammid, mitteametlikud andmekanalid ja variutiliidiprogrammid, mis eksisteerivad ettevõtte rakenduste portfellides ja pole kunagi ilmunud üheski varahaldussüsteemis, muudatuste logis ega IT-inventuuris. Need ei ole töötajate poolt juurutatud pilverakendused. Need on tootmisprogrammid, mis töötavad suurarvutites ja keskklassi süsteemides ning täidavad ärikriitilisi funktsioone, mille eest neid omavad organisatsioonid ei saa täielikult aru.
Need kaks probleemi nõuavad erinevaid avastamisviise. SaaS-i vari-IT probleem nõuab võrgu nähtavust ja identiteedi integreerimist. Kooditaseme vari-IT probleem nõuab tegelike tarkvaraartefaktide, lähtekoodi, laadimiskogude ja JCL-töövoogude parsimist, et loetleda, millised programmid on olemas ja mida need teevad. See juhend hõlmab mõlemat, keskendudes eriti teisele kategooriale, mida ülejäänud valdkond pole käsitlenud.
Kaks varju-IT-probleemi
Varju-IT-d defineeritakse tavaliselt kui organisatsioonis kasutatavat tehnoloogiat ilma IT-osakonna selgesõnalise heakskiidu või teadmisteta. See definitsioon hõlmab kahte põhimõtteliselt erinevat nähtust, mis nõuavad erinevaid avastamisviise ja erinevaid juhtimisreaktsioone.
Varjupõhine SaaS ja pilvetööriistad on rakendused ja teenused, mille töötajad või äriüksused võtavad kasutusele ilma ametliku IT-hanketa. Turundusmeeskond, kes kasutab heakskiitmata tehisintellektil põhinevat kirjutusvahendit. Finantsmeeskond, kes jagab arvutustabeleid isikliku Dropboxi konto kaudu. Arendaja, kes kasutab volitamata tehisintellektil põhinevat kodeerimisassistenti, mis saadab patenteeritud lähtekoodi välisele API-le. Need rakendused asuvad väljaspool organisatsiooni infrastruktuuri ja on leitavad väliste signaalide kaudu: DNS-päringud, OAuth-autoriseeringud, kuluaruannete reaartiklid, võrguliikluse sõrmejäljed.
Varirakendustarkvara , millele see artikkel spetsiaalselt keskendub, on kohandatud programmid ja pakktöötlused, mis loodi organisatsiooni enda infrastruktuuris ning mida pole kunagi korralikult dokumenteeritud, inventariseeritud ega hallatud. See on COBOL-programm, mille finantsosakonna arendaja kirjutas 1994. aastal konkreetse maksuarvestuse äärmusjuhtumi käsitlemiseks. Ärianalüütiku loodud RPG-programm EDI-failide genereerimiseks konkreetsele kaubanduspartnerile. Iga kuu lõpus käivituv JCL-töö, mis koostab regulatiivse aruande, millest vastavusmeeskond sõltub ja mille on loonud organisatsioonist 2009. aastal lahkunud töövõtja. See on Java utiliit, mis kirjutati 2018. aastal süsteemiintegratsiooni projekti käigus „ajutiselt“ ja millest sai püsiv sõltuvus ilma kellegi otsuseta, et see peaks olema.
Need programmid ei ole DNS-logides nähtavad, kuna nad töötavad sisemisel infrastruktuuril. Need ei ilmu OAuthi autoriseerimiskirjetes, kuna need on varasemad kui OAuthi. Neid ei ole ametlikus rakenduste inventuuris, kuna neid ei esitatud kunagi ametlikult IT-halduse läbivaatamiseks. Neid saab tuvastada ainult infrastruktuuri ennast, laadimisraamatukogusid, lähtekoodi hoidlaid, tööde ajakavasid ja täitmislogisid uurides, mis näitavad, milline tarkvara keskkonnas tegelikult töötab.
Põhjus, miks see on lisaks inventuuri täielikkusele oluline: 74 protsenti organisatsioonidest on kogenud turvaintsidente tundmatute või haldamata varade tõttu. Varirakendustarkvara esindab tundmatute varade kategooriat, mida ei suuda leida ei võrgupõhised avastamistööriistad ega SaaS-i nähtavusplatvormid.
Miks varjurakendustarkvara koguneb?
Dokumenteerimata kohandatud rakenduste leviku mõistmine ettevõttekeskkondades selgitab, miks standardsed juhtimisprotsessid seda ei takista ja miks on vajalik tagasiulatuv avastamine.
Kohene lahendus on hädavajalik. Äriüksused seisavad silmitsi spetsiifiliste operatiivsete probleemidega, mis nõuavad spetsiifilisi lahendusi. Heakskiidetud rakendus ei tegele äärmuslike juhtumitega. IT-päringute järjekord on piiratud mahajäämusega. Arendaja, kes töötab mõnikord IT-osakonnas, mõnikord ärimeeskonnas, kirjutab toimiva lahenduse. Lahendus käivitub, lahendab probleemi ja saab osaks operatiivsest töövoost. Formaalset juhtimisprotsessi ei toimu kunagi, sest probleem on juba lahendatud.
Ajutine-mis-sai-püsivaks-muster. Varirakenduse kõige salakavalam vorm algab otseselt ajutise lahendusena. „Ainult seni, kuni päris süsteem on valmis.“ „Andmevormingu probleemi kiire lahendus.“ „Ajutine, kuni ootame, kuni müüja oma API parandab.“ Ajutised lahendused muutuvad püsivaks, kui nende ümber kuhjuvaid sõltuvusi ei eemaldata kunagi. COBOL-i kuupäeva arvutamise parandus, mis on kirjutatud 2000. aasta paranduseks ja mida kutsutakse siiani välja 25 aastat hiljem, sest ükski hilisem arendaja ei teadnud, miks see eksisteeris või kas seda oli ohutu eemaldada. „Ajutine“ andmebaasi normaliseerimisskript, mis sai osaks öisest partiist, kuna sihtrakendust tegelikult kunagi ei ehitatud.
Teadmiste edastamise ebaõnnestumine. Konkreetsete isikute loodud varirakendused jätavad organisatsiooni dokumenteeritud teadmised alles siis, kui need isikud lahkuvad. Programm töötab edasi, see on integreeritud sellest sõltuvatesse tootmisprotsessidesse, kuid dokumentatsiooni pole olemas, omanikku pole määratud ja keegi ei tea piisavalt detailselt, mida see teeb, et seda ohutult muuta. Sellest saab tootmiskeskkonnas kummitus: nähtav oma mõjude poolest, nähtamatu oma juhtimise poolest.
Varjupõhine andmekanal. Andmete integreerimine on eriti viljakas pinnas dokumenteerimata kohandatud tarkvara jaoks. Kui ametlik ETL-kiht ei toeta vajalikku transformatsiooni või kui äriprotsess nõuab andmete liikumist süsteemide vahel kiiremini, kui ametlik integratsiooniprotsess lubab, loovad arendajad mitteametlikke andmete liikumise programme. Pythoni skript, mis pärib tootmisandmebaasi ja kirjutab tulemused jagatud kettale, mille allavoolu protsess haarab. COBOL-programm, mis loeb suurarvuti DB2-st ja kirjutab lamefaili, mille pilverakendus alla laadib. Need mitteametlikud andmekanalid ületavad süsteemi piire, käsitlevad potentsiaalselt tundlikke andmeid ja toimivad täielikult väljaspool integratsiooni juhtimisraamistikku.
Varjurakendustarkvara neli kategooriat
1. kategooria: Äriüksuse kohandatud rakendused
Arendajate loodud programmid, mis on integreeritud äriüksustesse, rahandusse, hanke-, operatsiooni- ja vastavusosakonda ning lahendavad konkreetseid valdkonnaprobleeme. Need programmid on tavaliselt järgmised:
- on nimetatud mitteametlikult (TAXCALC, VENDREPT, ADJBATCH) ilma ettevõtte nimetamiskonventsioone järgimata
- Asuvad äriüksuse, mitte IT-üksuse hallatavates kataloogides või teekides
- Konfiguratsioonihalduse andmebaasis (CMDB) pole kirjet
- IT-teenuste haldussüsteemis ei ole määratud tehnilist omanikku
- Puudub ametlik dokumentatsioon, testide katvus ja muudatuste haldamise ajalugu
Nende kriitilisust alahinnatakse sageli, sest äriüksus teab, mida programm teeb, ja peab seda „oma omaks“. IT-organisatsioon, kes ei tea programmi olemasolust, ei saa selle kriitilisust hinnata. Programmi puudumine IT-rakenduste inventuuris tähendab, et see puudub JCP-s, katastroofide taastamise planeerimises, turvalisuse hindamises ja moderniseerimisprogrammi ulatuses.
2. kategooria: kummitusprogrammid
Programmid, mis ilmuvad tootmises, kuid mille päritolu, eesmärk ja omanik on praegusele organisatsioonile teadmata. Need eksisteerivad laadimiskogudes ja lähtekoodihoidlates, neid kutsuvad välja teised programmid või JCL-tööd, need toodavad väljundeid, millest järgnevad protsessid sõltuvad, kuid organisatsiooni mälu selle kohta, miks nad eksisteerivad ja kes nende eest vastutab, on kadunud.
Variprogrammid on turvalisuse ja vastavuse seisukohast eriti ohtlikud, kuna neid ei saa praeguste standardite alusel üle vaadata, neid ei saa kaasata haavatavuste skaneerimise programmidesse, mis nõuavad rakenduse omandiõiguse määramist, ning neid ei saa hinnata regulatiivse vastavuse osas, kuna keegi ei tea, millistele andmetele nad juurde pääsevad või millist ärifunktsiooni nad täidavad.
3. kategooria: Varjude andmekanalid
Mitteametlikud programmid, mis liigutavad andmeid süsteemide vahel väljaspool heakskiidetud integratsiooniarhitektuuri. Need ulatuvad keerukatest ETL-alternatiividest lihtsate failiedastusskriptideni:
püüton
# Typical shadow data pipeline -- production database to shared storage
# Written 2021, "temporary until the API is ready"
# Still running daily as of 2026, owner left organization 2022
import pyodbc, shutil
from pathlib import Path
conn = pyodbc.connect('DSN=PROD_BILLING;UID=svcacct;PWD=...') # hardcoded creds
cursor = conn.execute("SELECT * FROM BILLING_RECORDS WHERE STATUS = 'PENDING'")
rows = cursor.fetchall()
# Write to shared drive that Finance picks up
output_path = Path(r'\\FILESERVER01\Finance\billing_export.csv')
with output_path.open('w') as f:
for row in rows:
f.write(','.join(str(v) for v in row) + '\n')
shutil.copy(output_path, Path(r'\\ARCHIVE\billing\') / f"billing_{date.today()}.csv")See programm, mis esindab ettevõttekeskkondades leiduvat mustrit, kasutab kõvakodeeritud tootmisandmebaasi sisselogimisandmeid, kirjutab tundlikke arveldusandmeid jagatud võrguasukohta ilma krüpteerimiseta ning on aastaid pärast autori lahkumist organisatsioonist jälgimata töötanud. See ei ilmuks üheski SaaS-i avastamistööriistas, kuna see töötab sisemisel infrastruktuuril. See ei ilmuks võrguliikluse analüüsis, kuna see kasutab standardseid andmebaasiprotokolle, mis ei tekita eristatavat signatuuri. See on nähtav ainult lähtekoodis endas.
4. kategooria: dokumenteerimata partiitööd
JCL-i töövood ja ajastatud programmid, mis töötavad tootmisinfrastruktuuril, kuid puuduvad ametlikust töögraafiku dokumentatsioonist. Need kogunevad järgmiselt:
- Tööd, mis esitatakse väljaspool standardset tööde ajakava, otse esitamise kaudu
- Programmid, mida kutsutakse dünaamiliselt teiste programmide seest (ja seetõttu pole ajakava inventuuris iseseisvalt nähtavad)
- Tööd, mida tehakse harva, kuu lõpus, aasta lõpus või ainult siis, kui ilmnevad konkreetsed äritingimused, ja mida pole kunagi rutiinsetes varude auditites kajastatud.
- Eelkäijasüsteemidelt päritud töökohad, mis küll migreeriti, aga ametlikult kasutusest maha ei võetud
Dokumenteerimata partiitöödest saavad kriitilised tõrkepunktid, kui:
- Hooldusaken mõjutab süsteemi, millel nad töötavad, ja keegi ei tea, millal teavitada äriüksust, mis nende väljundist sõltub.
- Turvalisuse hindamine viiakse läbi ja need tööd käivitatakse jälgimata teenusekontodena, millel on kõrgendatud õigused.
- Moderniseerimisprogramm määrab migratsiooni ulatuse dokumenteeritud töögraafiku alusel ja saabub sihtkeskkonda ilma kriitilise partiitöötluseta.
Varjutarkvara kategooria avastamismeetodid
SaaS-i vari-IT jaoks sobivad avastamismeetodid ei ole vari-rakendustarkvara puhul suures osas rakendatavad. Vajalikud meetodid on järgmised:
Laadimisteegi analüüs. Iga programm, mis on kunagi kompileeritud ja suur- või keskklassi süsteemile juurutatud, asub laadimisteegis ehk käivitatavate failide hoidlas. Laadimisteegi programmide võrdlemine ametliku rakenduste inventuuri programmidega näitab lünka: iga laadimismoodul, mis ilmub teegis, kuid mitte inventuuris, on variprogramm. See analüüs ei vaja lähtekoodi, see töötab kompileeritud käivitatavate failide ja nende metaandmetega.
Lähtekoodi repositooriumi läbimine. Lähtekoodi repositooriumid (COBOL-i lähtekoodi PDS-id, Giti repositooriumid, RPG lähtekoodi teegid) sisaldavad kõiki kunagi kirjutatud programme, sealhulgas programme, mis on kirjutatud mitteametlikult, juurutatud mitteametlikult ja mida pole kunagi IT-haldussüsteemides registreeritud. Kogu lähtekoodi repositooriumi läbimine CMDB-s paljastab programmid, mis on küll lähtekoodis olemas, kuid millel puudub halduskirje.
JCL-i ja ajastaja vastavusse viimine. Iga JCL-i töövoog, mis töötab tootmises, olenemata sellest, kas see on esitatud ametliku ajastaja kaudu, käsitsi või mõne teise töö poolt käivitatud, jätab jälje töö täitmislogisse (JESLOG, SYSLOG). Tootmislogides kuvatavate programmide võrdlemine ametliku inventuuri programmidega tuvastab programmid, mis töötavad tootmises ilma halduskatteta.
Dünaamiline CALL-analüüs. Programmid, mis kutsuvad teisi programme dünaamiliselt, kus kutsutava programmi nimi määratakse käitusajal, mitte kompileerimise ajal, loovad sõltuvusi, mis on staatilise ajastaja analüüsi jaoks nähtamatud. Dünaamiline CALL-analüüs jälgib, millised programmid väljastavad muutuvate programminimedega CALL-lauseid, tuvastab kutsutavate programmide vahemiku ja märgistab dünaamilise dispetši kaudu kättesaadavad programmid, mis ei pruugi ühelgi staatilisel sõltuvuskaardil esineda.
Andmevoo jälgimine. Varjuandmekanalid on avastatavad failisüsteemi ja andmebaasi juurdepääsumustrite analüüsi kaudu: millised programmid loevad või kirjutavad millistesse andmekogumitesse, failidesse või andmebaasitabelitesse. Programm, mis loeb tootmisandmebaasist ja kirjutab failiteele väljaspool standardset andmehaldushierarhiat, on varikanali kandidaat.
Varjude tehisintellekti mõõde
Varju-IT probleemi 2026. aasta laienduseks on vari-tehisintellekt, kus töötajad ja äriüksused kasutavad tehisintellekti tööriistu ja agente ilma IT-loata. IBM-i 2026. aasta andmelekke maksumuse aruande kohaselt on 43 protsenti turvaintsidentidest seotud töötajatega, kes kasutavad vari-tehisintellekti. Gartner ennustab, et 2030. aastaks kogeb enam kui 40 protsenti ettevõtetest turva- või vastavusintsidente, mis on seotud volitamata vari-tehisintellektiga.
Varjulise tehisintellekti tekitatud spetsiifiline risk, mis on otseselt seotud kooditasemel vari-IT-ga: tehisintellekti kodeerimisassistentidesse sisenev patenteeritud lähtekood. Töötaja, kes kasutab volitamata tehisintellekti kodeerimisassistenti pärand-COBOL-programmi abistamiseks, on saatnud selle programmi lähtekoodi välisele tehisintellekti pakkujale. Lähtekood võib sisaldada kõvakodeeritud volitusi, äriloogikat, mis kujutab endast ärisaladusi, või andmestruktuure, mille avalikustamine rikub andmete asukoha nõudeid. Selle konkreetse riski avastamismeetod ei ole võrguliikluse analüüs, vaid see, millistele programmidele on juurde pääsenud tööriistad, mis suhtlevad väliste tehisintellekti API-dega, mis nõuab pigem rakendustaseme jälgimist kui võrgutaseme jälgimist.
Varjupõhise tehisintellekti probleemil ja varirakendustarkvara probleemil on üks oluline omadus: mõlemad on nähtamatud võrgupõhistele tuvastustööriistadele, mis domineerivad SaaS-i vari-IT turul. Mõlema esilekerkimiseks on vaja kas rakendustasandi jälgimist või struktuurikoodi analüüsi.
Täieliku rakenduste inventuuri koostamine
Ettevõtte rakendustarkvara vari-IT-avastusprogrammi väljundiks on kooskõlastatud inventuur, mis hõlmab nelja populatsiooni:
Tuntud ja dokumenteeritud: programmid, mis esinevad nii ametlikus inventuuris kui ka tegelikus tootmiskeskkonnas. Nendel programmidel on haldusülesanne, määratud omanikud, muudatuste haldamise ajalugu ja katastroofidejärgsed taastamiskavad.
Tuntud, kuid mitte juurutatud: programmid, mis ilmuvad ametlikus inventuuris, kuid mida ei leita laadimisraamatukogudest ega tootmise käivitamise logidest. Need on kandidaadid pensionile jäämiseks, need võivad olla dekomisjoneeritud ilma nõuetekohase ametliku pensionile jäämiseta või võivad need olla valesti loetletud.
Tundmatud, aga juurutatud (variprogrammid): Programmid, mis ilmuvad tootmise teostuslogides või laadivad teeke, kuid millel pole ametlikku inventuuri kantud. Need on IT-varjupaigaprogrammid, mis vajavad viivitamatut omaniku määramist, turvalisuse hindamist ja haldusregistreerimist.
Dokumenteerimata sõltuvused: programmid, mis ei kajastu ametlikus inventuuris ega ka esmastes tootmisprotsesside logides, kuid mis avastatakse dünaamilise CALL-analüüsi või andmevoo jälgimise abil kui tootmisprotsessidest kättesaadavad. Need on nn. variprogrammid, mida on kõige raskem leida ja mis on kõige ohtlikumad avastamata jätta.
Nende nelja populatsiooni vaheline leppimine annab tulemuseks tegevuskava: variprogrammide registreerimine, nende turvalisuse seisundi hindamine, omandiõiguse määramine ja nende käsutamise kindlaksmääramine, juhtimine ja hooldamine, kaasajastamine või pensionile jäämine.
Kuidas SMART TS XL Teostab kooditasemel vari-IT-tuvastust
SMART TS XLlähenemisviis vari-IT avastamisele käsitleb kooditaseme kategooriaid, kuhu võrgupõhised tööriistad ei pääse.
Staatilise koodi analüüsi võimekus algab lähtekoodi hoidla täieliku läbimisega: iga COBOL-programm, RPG-moodul, PL/I-rakendus, Java-teenus, Pythoni skript ja JCL-töövoog keskkonnas kataloogitakse koos selle lähtekoodi asukoha, keele, suuruse ja esialgse keerukusprofiiliga. See inventuur on baasjooneks, millega CMDB-d ja ametlikku rakenduste registrit ühitatakse. Programmid, mis ilmuvad lähtekoodi hoidlas, kuid mitte ametlikus inventuuris, on peamised varirakenduste leiud.
Rakenduse sõltuvuste kaardistamine lahendab dünaamilise CALL-probleemi: jälgides iga CALL-lauset igas programmis, sealhulgas dünaamilistes kõnedes, kus programmi nimi on muutuja, tuvastab sõltuvuskaart programmid, mis on tootmisprotsessidest kättesaadavad isegi siis, kui need ei ilmu kunagi staatilistes ajastajate inventuurides. Variprogramm, mida kümme tootmisprogrammi dünaamiliselt kutsuvad, kuvatakse sõltuvuskaardil isegi siis, kui sellel puudub sõltumatu JCL-töö määratlus.
JCL -i laiendusvõimalus jälgib iga JCL-i töövoo täielikku täitmisahelat: PROC-viidete lahendamist, sümboolsete parameetrite laiendamist ja iga töö käivitatavate programmide täieliku kaardi loomist. Kui seda kaarti võrreldakse ametliku tööde ajakava dokumentatsiooniga, kuvatakse automaatselt tööd ja programmid, mis töötavad tootmises ilma dokumentatsiooni katmata.
Mõjuanalüüsi võimalus muudab avastatud tulemused rakendatavaks: iga avastatud variprogrammi kohta loetlege kõik sellest sõltuvad tootmisprotsessid. Variprogramm , millel pole ülalpeetavaid, on surnud koodi kandidaat ja ohutu pensionile jääda. Variprogramm, millel on kakskümmend tootmisest sõltuvat protsessi, on kriitilise tähtsusega dokumenteerimata vara, mis vajab kohest juhtimise tähelepanu. Mõju ulatus määrab parandusmeetmete prioriteedi.
Ettevõtte otsinguvõimalus muudab kogu inventuuri päringuid tegevaks: leia iga programm, mis pääseb juurde konkreetsele andmestikule (potentsiaalsed variandmete torujuhtme kandidaadid), iga pärast kindlat kuupäeva kirjutatud programm, millel puudub CMDB kirje (hiljutised varirakendused), iga programm, mis kirjutab välistele failiteedele väljaspool standardset andmehaldushierarhiat. See otsinguvõimalus toetab nii esialgset avastamist kui ka pidevat jälgimist, mis takistab varirakenduste kuhjumise jätkumist pärast esialgset puhastamist.
Organisatsioonide jaoks, mis viivad läbi pärandrakenduste moderniseerimisprogramme , on varirakenduste avastamine eeltingimus. Moderniseerimisprogramm, mis määrab migratsiooni ulatuse ametliku rakenduste inventuuri põhjal ja avastab varirakendusi teostuse keskel, on moderniseerimisprogramm, mille ulatus, ajakava ja eelarve olid kõik juba pühendumise hetkel valed. Avastus, mis oleks pidanud toimuma enne planeerimist, toimub nüüd teostuse ajal, mil selle maksumus on kõrgeim.
Juhtimise vastus: mitte blokeerimine, vaid nähtavus
Organisatsioonid, mis haldavad vari-IT-d tõhusalt aastal 2026, on õppinud, et üldine keeld ei toimi ja loob perversseid stiimuleid. Vari-IT aruandlus ebaõnnestub enamikus organisatsioonides ühel põhjusel: töötajad ootavad karistust. Kui finantsmeeskonna liige kasutab heakskiitmata kulude jälgimise süsteemi ja annab sellest ise aru, on noomitusega reageeriv turvameeskond koolitanud selle töötaja ja kõik, kellega nad räägivad, järgmisel korral vaikima jääma.
Sama põhimõte kehtib ka varirakenduste tarkvara kohta. Arendajat, kes on loonud ärikriitilise COBOL-utiliidi, millest organisatsioon sõltub, ei tohiks karistada selle eest, et ta ei ole läbinud juhtimisprotsessi, mida tol ajal ei pruukinud selgelt edastada. Varirakenduste avastamisele reageerimise juhtimismeetod peaks olema järgmine:
Registreerimine, mitte eemaldamine. Äriprotsesside kriitilisel teel avastatavad variprogrammid ei ole variprogrammid, mis tuleks eemaldada, vaid dokumenteerimata tootmisrakendused, mis vajavad haldusalast katvust. Registreerige need, määrake omanikud, hinnake nende turvaseisundit ja käsitlege neid sama haldusdistsipliini alusel nagu iga teist tootmisrakendust.
Enese avalikustamise amnestia. Juhtimisprogramm, mis loob äriüksustele turvalised kanalid nende loodud mitteametlike rakenduste avalikustamiseks, toob varitarkvara esile kiiremini kui ükski tehniline avastamismeetod. Kinnitus, et avalikustamine viib juhtimistoe, dokumentatsiooni abistamise, turvaülevaatuse ja ametliku registreerimise, mitte distsiplinaarmeetmeteni, kõrvaldab varjamise stiimuli.
Ennetamine protsessi kaudu. Varirakenduste kuhjumise algpõhjus on juhtimishõõrdumine: uute rakenduste arendamise taotlemise ametlik protsess on aeglasem, kui äriprobleem nõuab. Selle hõõrdumise vähendamine, kerge kiire arenduse juhtimine, äriüksustesse integreeritud IT-juhtimise tugi ja madala riskiga sisemiste tööriistade sujuvam kinnitamine vähendavad uute varirakenduste loomise kiirust ilma pideva tehnilise avastamiseta.
Inventar, mis sa arvad, et sul on, ei ole see inventar, mis sul on
Erinevus IT-osakonna hallatava rakenduste inventuuri ja ettevõttekeskkondades tegelikult töötava rakendustarkvara vahel ei ole väike lahknevus. Suurtes organisatsioonides, kus rakenduste kogunemise aeg on aastakümneid, võib dokumenteeritud ja tegelike programmide vahe ulatuda 30 protsendini kõigist programmidest. Dokumenteerimata 30 protsenti hõlmab programme, mis töötlevad tundlikke andmeid, täidavad regulatiivseid vastavusfunktsioone, asuvad äriprotsesside kriitilisel teel ja sisaldavad turvaauke, mida keegi pole üle vaadanud, sest keegi ei teadnud, et peaks neid üle vaatama.
SaaS-i varju-IT avastamistööriistad lahendavad selle probleemi pilvetasandi hästi. Kooditaseme varju-IT probleem – kohandatud programmid, varjatud utiliidid, mitteametlikud andmekanalid ja dokumenteerimata partiitööd, mis asustavad ettevõtte pärandkeskkondi – nõuab teistsugust lähenemist: tegelike tarkvaraartefaktide struktuurianalüüsi, mitte võrguliikluse jälgimist. Selle analüüsi tulemusel saadud inventuur on sageli üllatavalt terviklik. Organisatsioonid, kes seda tööd teevad, leiavad järjepidevalt, et see, mis nende arvates tootmises töötab, ja see, mis tegelikult töötab, on kaks sisuliselt erinevat asja. Selle lünga täitmine on iga juhtimis-, turvalisus-, JCP- ja moderniseerimisprogrammi alus, mis sõltub teadmisest, mida organisatsioon tegelikult tegutseb.
