Her kuruluşun gölge BT'ye sahip olduğunun farkında olduğunu biliyoruz. Sorunu somutlaştıran rakam şu: Çoğu kuruluş 1,000'den fazla bulut uygulaması çalıştırıyor ve BT'nin bunların %10'undan daha azına erişimi var. Büyük işletmeler ortalama 473 SaaS uygulaması kullanıyor; BT bunların yalnızca küçük bir kısmını doğrudan yönetiyor. Çalışanların %80'i işlerini halletmek için onaylanmamış uygulamalar kullanıyor. Bu rakamlar her çalışmada tutarlı çünkü yansıttıkları dinamik tutarlı: Çalışanlar ve iş birimleri, BT yönetişim süreçlerinin değerlendirip onaylamasından daha hızlı bir şekilde acil sorunları çözen araçları benimsiyor.
2026'da gölge BT hakkındaki tartışmalara, DNS günlüklerini tarayan, SSO OAuth belirteçlerini analiz eden, gider raporlarını denetleyen ve ağ trafiğini parmak iziyle inceleyerek çalışanların yetkisiz olarak kullandığı bulut uygulamalarını bulan SaaS keşif araçları hakim. Bu araçlar sorunun SaaS katmanını çözüyor ve bunu oldukça iyi yapıyorlar. Ancak çözemedikleri ve hiçbir SaaS keşif aracının ele almadığı şey, diğer gölge BT sorunu: kurumsal uygulama portföylerinde bulunan ve hiçbir varlık yönetim sisteminde, değişiklik günlüğünde veya BT envanterinde yer almayan özel olarak oluşturulmuş uygulamalar, belgelenmemiş toplu iş programları, gayri resmi veri işlem hatları ve hayalet yardımcı programlar. Bunlar çalışanlar tarafından dağıtılan bulut uygulamaları değil. Bunlar, ana bilgisayarlarda ve orta seviye sistemlerde çalışan, işletme açısından kritik işlevleri yerine getiren ve sahiplerinin tam olarak açıklayamadığı üretim programlarıdır.
İki sorun farklı keşif yaklaşımları gerektiriyor. SaaS gölge BT sorunu, ağ görünürlüğü ve kimlik entegrasyonu gerektirirken, kod seviyesindeki gölge BT sorunu, hangi programların mevcut olduğunu ve ne yaptıklarını belirlemek için gerçek yazılım bileşenlerini, kaynak kodunu, yükleme kütüphanelerini, JCL iş akışlarını ayrıştırmayı gerektirir. Bu kılavuz, alanın geri kalanının ele almadığı ikinci kategoriye özel bir odaklanma ile her ikisini de ele almaktadır.
İki Gölge Bilişim Sorunu
Gölge BT, genellikle bir kuruluş içinde açık BT onayı veya bilgisi olmadan kullanılan teknoloji olarak tanımlanır. Bu tanım, farklı keşif yaklaşımları ve farklı yönetimsel yanıtlar gerektiren iki temel farklı olguyu kapsar.
Gölge SaaS ve bulut araçları, resmi BT tedariki olmaksızın çalışanlar veya iş birimleri tarafından benimsenen uygulamalar ve hizmetlerdir. Onaylanmamış bir yapay zeka yazma aracı kullanan bir pazarlama ekibi; kişisel bir Dropbox hesabı üzerinden elektronik tabloları paylaşan bir finans ekibi; tescilli kaynak kodunu harici bir API'ye gönderen yetkisiz bir yapay zeka kodlama asistanı kullanan bir geliştirici. Bu uygulamalar kuruluşun altyapısının dışında bulunur ve harici sinyaller aracılığıyla keşfedilebilir: DNS sorguları, OAuth yetkilendirmeleri, gider raporu kalemleri, ağ trafiği parmak izleri.
Bu makalenin özellikle odaklandığı kategori olan "gölge uygulama yazılımı" , kuruluşun kendi altyapısı içinde oluşturulan ve hiçbir zaman düzgün bir şekilde belgelenmemiş, envanterlenmemiş veya yönetilmemiş özel olarak geliştirilmiş programlar ve toplu işlem süreçleridir. Örnekler: 1994 yılında finans departmanında bir geliştirici tarafından belirli bir vergi hesaplama durumunu ele almak için yazılmış bir COBOL programı; belirli bir ticaret ortağı için EDI dosyaları oluşturmak üzere bir iş analisti tarafından oluşturulmuş bir RPG programı; her ay sonunda çalışan ve uyumluluk ekibinin bağlı olduğu bir düzenleyici rapor üreten, 2009 yılında kuruluştan ayrılan bir yüklenici tarafından oluşturulmuş bir JCL işi; 2018 yılında bir sistem entegrasyon projesi sırasında "geçici olarak" yazılmış ve kimse karar vermeden kalıcı bir bağımlılık haline gelen bir Java yardımcı programı.
Bu programlar, dahili altyapıda çalıştıkları için DNS kayıtlarında görünmezler. OAuth yetkilendirme kayıtlarında da yer almazlar çünkü OAuth'tan önce geliştirilmişlerdir. Resmi uygulama envanterinde de bulunmazlar çünkü hiçbir zaman resmi olarak BT yönetişim incelemesine sunulmamışlardır. Bunlar yalnızca altyapının kendisini, yükleme kütüphanelerini, kaynak kod depolarını, iş zamanlayıcılarını ve ortamda hangi yazılımların çalıştığını ortaya koyan yürütme günlüklerini inceleyerek keşfedilebilirler.
Bu durumun envanter eksiksizliğinin ötesinde önemi şudur: Kuruluşların %74'ü bilinmeyen veya yönetilmeyen varlıklar nedeniyle güvenlik olayları yaşamıştır. Gölge uygulama yazılımları, ne ağ tabanlı keşif araçlarının ne de SaaS görünürlük platformlarının bulamadığı bilinmeyen varlıklar kategorisini temsil eder.
Gölge Uygulama Yazılımlarının Birikmesinin Nedenleri
Kurumsal ortamlarda belgelenmemiş özel uygulamaların neden çoğaldığını anlamak, standart yönetim süreçlerinin bunu önlemede neden başarısız olduğunu ve geriye dönük keşfin neden gerekli olduğunu açıklar.
Acil çözüm zorunluluğu. İş birimleri, özel çözümler gerektiren belirli operasyonel sorunlarla karşı karşıyadır. Onaylanan uygulama, uç durumu ele almıyor. BT talep kuyruğu, birikmiş iş yükü nedeniyle tıkanmış durumda. Bazen BT'de, bazen de bir iş ekibine entegre edilmiş bir geliştirici, çalışan bir çözüm yazıyor. Çözüm çalışıyor, sorunu çözüyor ve operasyonel iş akışının bir parçası haline geliyor. Sorun zaten çözüldüğü için resmi yönetim süreci asla gerçekleşmiyor.
Geçici olup kalıcı hale gelen model. Gölge uygulama yazılımlarının en sinsi biçimi, açıkça geçici bir çözüm olarak başlar. "Gerçek sistem hazır olana kadar." "Veri formatı sorunu için hızlı bir geçici çözüm." "Satıcının API'sini düzeltmesini beklerken geçici olarak." Geçici çözümler, etraflarında biriken bağımlılıklar asla ortadan kaldırılmadığında kalıcı hale gelir. Y2K düzeltmesi için yazılan ve yirmi beş yıl sonra bile hala çağrılan COBOL tarih hesaplama düzeltmesi, çünkü sonraki hiçbir geliştirici neden var olduğunu veya kaldırılmasının güvenli olup olmadığını bilmiyordu. Hedef uygulama aslında hiç oluşturulmadığı için gece çalıştırılan toplu işleme dahil olan "geçici" veritabanı normalleştirme betiği.
Bilgi aktarımında yaşanan başarısızlık. Belirli kişiler tarafından oluşturulan gizli uygulamalar, bu kişiler ayrıldığında kuruluşun belgelenmiş bilgi birikiminden de ayrılır. Program çalışmaya devam eder, ona bağlı üretim süreçlerine entegre edilir, ancak hiçbir dokümantasyon mevcut değildir, sahiplik atanmamıştır ve kimse onu güvenli bir şekilde değiştirmek için yeterli ayrıntıda ne yaptığını bilmez. Üretim ortamında bir hayalet haline gelir: etkileri görünür, yönetimi görünmezdir.
Gizli veri işlem hattı. Veri entegrasyonu, özellikle belgelenmemiş özel yazılımlar için verimli bir zemin oluşturur. Resmi ETL katmanı gerekli bir dönüşümü desteklemediğinde veya bir iş süreci, verilerin resmi entegrasyon sürecinin izin verdiğinden daha hızlı bir şekilde sistemler arasında taşınmasını gerektirdiğinde, geliştiriciler resmi olmayan veri taşıma programları oluştururlar. Üretim veritabanını sorgulayan ve sonuçları alt akıştaki bir işlemin alacağı paylaşımlı bir sürücüye yazan bir Python betiği. Ana bilgisayar DB2'den okuyan ve bir bulut uygulamasının aldığı düz bir dosyaya yazan bir COBOL programı. Bu resmi olmayan veri işlem hatları sistem sınırlarını aşar, potansiyel olarak hassas verileri işler ve tamamen entegrasyon yönetişim çerçevesinin dışında çalışır.
Gölge Uygulama Yazılımlarının Dört Kategorisi
Kategori 1: İş Birimine Özel Uygulamalar
İş birimlerine, finansa, tedarike, operasyonlara, uyumluluk departmanlarına yerleştirilmiş geliştiriciler tarafından oluşturulan ve belirli alan sorunlarını çözen programlar. Bu programlar tipik olarak:
- Kurumsal adlandırma kurallarına uyulmadan gayri resmi olarak adlandırılırlar (TAXCALC, VENDREPT, ADJBATCH).
- Bilgi ve iletişim teknolojileri departmanı yerine iş birimi tarafından yönetilen dizinlerde veya kütüphanelerde yer alan bilgilere erişebilirsiniz.
- Yapılandırma yönetim veritabanında (CMDB) hiçbir kayıt bulunmamaktadır.
- BT hizmet yönetim sisteminde atanmış bir teknik sorumlu bulunmamaktadır.
- Resmi dokümantasyon, test kapsamı ve değişiklik kontrol geçmişi eksikliği.
Bu programların önemi sıklıkla hafife alınır çünkü iş birimi programın ne yaptığını bilir ve onu "kendilerine ait" olarak görür. Programın varlığından haberdar olmayan BT organizasyonu, önemini değerlendiremez. Programın BT'nin uygulama envanterinde yer almaması, iş sürekliliği planlaması (BCP), felaket kurtarma planlaması, güvenlik değerlendirmeleri ve modernizasyon programı kapsamı dışında kalması anlamına gelir.
Kategori 2: Hayalet Programlar
Üretim ortamında çalışan ancak kökeni, amacı ve sahipliği mevcut kuruluş tarafından bilinmeyen programlar. Yükleme kütüphanelerinde ve kaynak depolarında bulunurlar, diğer programlar tarafından çağrılırlar veya JCL işleri tarafından başlatılırlar, alt süreçlerin bağlı olduğu çıktılar üretirler, ancak var olma nedenleri ve sorumlularının kim olduğu konusundaki kurumsal hafıza kaybolmuştur.
Hayalet programlar, güvenlik ve uyumluluk açısından özellikle tehlikelidir çünkü mevcut standartlara göre incelenemezler, uygulama sahipliğinin atanmasını gerektiren güvenlik açığı tarama programlarına dahil edilemezler ve hangi verilere eriştikleri veya hangi işlevi yerine getirdikleri bilinmediğinden düzenleyici uyumluluk açısından değerlendirilemezler.
Kategori 3: Gölge Veri İşlem Hatları
Resmi entegrasyon mimarisinin dışında sistemler arasında veri taşıyan resmi olmayan programlar. Bunlar, gelişmiş ETL alternatiflerinden basit dosya aktarım komut dosyalarına kadar çeşitlilik gösterir:
piton
# Typical shadow data pipeline -- production database to shared storage
# Written 2021, "temporary until the API is ready"
# Still running daily as of 2026, owner left organization 2022
import pyodbc, shutil
from pathlib import Path
conn = pyodbc.connect('DSN=PROD_BILLING;UID=svcacct;PWD=...') # hardcoded creds
cursor = conn.execute("SELECT * FROM BILLING_RECORDS WHERE STATUS = 'PENDING'")
rows = cursor.fetchall()
# Write to shared drive that Finance picks up
output_path = Path(r'\\FILESERVER01\Finance\billing_export.csv')
with output_path.open('w') as f:
for row in rows:
f.write(','.join(str(v) for v in row) + '\n')
shutil.copy(output_path, Path(r'\\ARCHIVE\billing\') / f"billing_{date.today()}.csv")Kurumsal ortamlarda sıkça rastlanan bir örneği temsil eden bu program, önceden tanımlanmış üretim veritabanı kimlik bilgilerini kullanıyor, hassas faturalama verilerini şifrelemeden paylaşılan bir ağ konumuna yazıyor ve yazarının kuruluştan ayrılmasından yıllar sonra bile denetlenmeden çalışmaya devam ediyor. Dahili altyapıda çalıştığı için hiçbir SaaS keşif aracında görünmez. Ayırt edilebilir bir imza üretmeyen standart veritabanı protokollerini kullandığı için ağ trafiği analizinde de görünmez. Sadece kaynak kodunun kendisinde görülebilir.
Kategori 4: Belgelenmemiş Toplu İşlemler
Üretim altyapısında çalışan ancak resmi iş zamanlama belgelerinde yer almayan JCL iş akışları ve zamanlanmış programlar. Bunlar şu yollarla birikir:
- Standart iş planlayıcısının dışında, doğrudan gönderim yoluyla gönderilen işler
- Diğer programlar içinden dinamik olarak çağrılan programlar (ve bu nedenle zamanlayıcı envanterlerinde bağımsız olarak görünmezler)
- Ay sonlarında, yıl sonlarında veya yalnızca belirli iş koşulları oluştuğunda seyrek olarak çalıştırılan ve rutin envanter denetimlerinde hiç kaydedilmemiş işler.
- Önceki sistemlerden devralınan ve "taşınmış" ancak resmi olarak devre dışı bırakılmamış işler.
Belgelenmemiş toplu işler şu durumlarda kritik hata noktaları haline gelir:
- Bir bakım penceresi, çalıştıkları sistemi etkiler ve kimse, çıktılarına bağımlı olan iş birimini bilgilendirmeyi bilmez.
- Bir güvenlik değerlendirmesi yapılır ve bu işler, yüksek ayrıcalıklara sahip, izlenmeyen hizmet hesapları olarak çalıştırılır.
- Modernizasyon programı, belgelenmiş iş planına göre geçişi kapsar ve hedef ortama kritik toplu işleme süreçleri eksik olarak ulaşır.
Shadow Software Kategorisine Göre Keşif Yöntemleri
SaaS gölge BT için uygun olan keşif yöntemleri, gölge uygulama yazılımları için büyük ölçüde uygulanamaz. Gerekli yöntemler şunlardır:
Yükleme kütüphanesi analizi. Bir ana bilgisayara veya orta seviye sisteme derlenip dağıtılmış her program, yürütülebilir dosya deposu olan bir yükleme kütüphanesinde bulunur. Yükleme kütüphanesindeki programları resmi uygulama envanterindeki programlarla karşılaştırmak, aradaki farkı ortaya çıkarır: kütüphanede görünen ancak envanterde bulunmayan her yükleme modülü bir gölge programdır. Bu analiz kaynak kod gerektirmez, derlenmiş yürütülebilir dosyalar ve bunların meta verileri üzerinde çalışır.
Kaynak kod deposu taraması. Kaynak kod depoları (COBOL kaynak PDS'leri, Git depoları, RPG kaynak kütüphaneleri), gayri resmi olarak yazılmış, gayri resmi olarak dağıtılmış ve BT yönetim sistemlerinde hiçbir zaman kaydedilmemiş programlar da dahil olmak üzere, şimdiye kadar yazılmış her programı içerir. CMDB'ye karşı tüm kaynak kod deposunu taramak, kaynak kodda mevcut olan ancak yönetim kaydı bulunmayan programları ortaya çıkarır.
JCL ve zamanlayıcı uzlaştırması. Üretimde çalışan her JCL iş akışı, ister resmi zamanlayıcı aracılığıyla gönderilsin, ister manuel olarak gönderilsin, ister başka bir iş tarafından çağrılsın, iş yürütme günlüğünde (JESLOG, SYSLOG) bir iz bırakır. Üretim yürütme günlüklerinde görünen programları resmi envanterdeki programlarla karşılaştırmak, üretimde yönetim kapsamı olmadan çalışan programları belirler.
Dinamik CALL analizi. Çağrılan program adının derleme zamanında değil, çalışma zamanında belirlendiği, diğer programları dinamik olarak çağıran programlar, statik zamanlayıcı analizine görünmeyen bağımlılıklar oluşturur. Dinamik CALL analizi, değişken program adlarıyla CALL ifadeleri veren programları izler, çağrılabilecek program aralığını belirler ve herhangi bir statik bağımlılık haritasında görünmeyebilecek, dinamik dağıtım yoluyla erişilebilen programları işaretler.
Veri akışı izleme. Dosya sistemi ve veritabanı erişim kalıplarının analizi yoluyla gizli veri işlem hatları keşfedilebilir: hangi programlar hangi veri kümelerinden, dosyalardan veya veritabanı tablolarından okuma veya yazma işlemi gerçekleştirir. Üretim veritabanından okuma yapan ve standart veri yönetimi hiyerarşisinin dışında bir dosya yoluna yazan bir program, gizli işlem hattı adayıdır.
Gölge Yapay Zeka Boyutu
Gölge BT sorununun 2026'daki uzantısı, gölge yapay zekadır; yani çalışanların ve iş birimlerinin BT onayı olmadan yapay zeka araçları ve ajanları kullanmasıdır. IBM'in 2026 Veri İhlalinin Maliyeti raporuna göre, güvenlik olaylarının %43'ü gölge yapay zeka kullanan çalışanlarla ilgilidir. Gartner, 2030 yılına kadar işletmelerin %40'ından fazlasının yetkisiz gölge yapay zeka ile bağlantılı bir güvenlik veya uyumluluk olayı yaşayacağını öngörüyor.
Gölge yapay zekanın kod düzeyindeki gölge BT ile doğrudan ilgili olarak ortaya çıkardığı özel risk şudur: tescilli kaynak kodunun yapay zeka kodlama yardımcılarına girmesi. Eski bir COBOL programına yardımcı olmak için yetkisiz bir yapay zeka kodlama yardımcısı kullanan bir çalışan, bu programın kaynak kodunu harici bir yapay zeka sağlayıcısına göndermiştir. Kaynak kod, sabit kodlanmış kimlik bilgilerini, ticari sırları oluşturan iş mantığını veya veri yerleşimi gerekliliklerini ihlal eden veri yapılarını içerebilir. Bu özel riskin tespit yöntemi ağ trafiği analizi değil, harici yapay zeka API'leriyle iletişim kuran araçlar tarafından hangi programlara erişildiğinin belirlenmesidir; bu da ağ düzeyinde izleme yerine uygulama düzeyinde izleme gerektirir.
Gölge yapay zeka problemi ve gölge uygulama yazılımı problemi önemli bir ortak özelliğe sahiptir: Her ikisi de SaaS gölge BT pazarında hakim olan ağ tabanlı keşif araçları için görünmezdir. Her ikisinin de ortaya çıkması için ya uygulama düzeyinde izleme ya da yapısal kod analizi gereklidir.
Eksiksiz Başvuru Envanterinin Oluşturulması
Kurumsal uygulama yazılımları için yürütülen bir gizli BT keşif programının çıktısı, dört grubu kapsayan uzlaştırılmış bir envanterdir:
Bilinen ve belgelenmiş: Hem resmi envanterde hem de fiili üretim ortamında yer alan programlar. Bu programlar yönetim kapsamına, atanmış sahiplere, değişiklik kontrol geçmişine ve felaket kurtarma planlarına sahiptir.
Bilinen ancak devreye alınmamış programlar: Resmi envanterde görünen ancak yükleme kütüphanelerinde veya üretim yürütme günlüklerinde bulunamayan programlar. Bunlar, kullanımdan kaldırılma adayıdır, uygun resmi bir şekilde kullanımdan kaldırılmış olabilirler veya yanlış listelenmiş olabilirler.
Bilinmeyen ancak devreye alınmış (gölge programlar): Üretim yürütme günlüklerinde görünen veya kütüphaneleri yükleyen ancak resmi envanterde kaydı bulunmayan programlar. Bunlar, acil sahiplik ataması, güvenlik değerlendirmesi ve yönetim kaydı gerektiren temel gölge BT bulgularıdır.
Belgelenmemiş bağımlılıklar: Ne resmi envanterde ne de birincil üretim yürütme günlüklerinde görünmeyen, ancak dinamik CALL analizi veya veri akışı izleme yoluyla üretim süreçlerinden erişilebilir olduğu keşfedilen programlar. Bunlar hayalet programlardır, bulunması en zor olan ve keşfedilmeden bırakılması en tehlikeli olanlardır.
Bu dört grup arasındaki uzlaşma, eylem planını ortaya çıkarır: gizli programları kaydetmek, güvenlik durumlarını değerlendirmek, sahiplik atamak ve akıbetlerini belirlemek; yönetmek ve sürdürmek, modernize etmek veya sonlandırmak.
Ne kadar SMART TS XL Kod Seviyesinde Gölge BT Keşfi Gerçekleştirir
SMART TS XL'ın gölge BT keşfine yönelik yaklaşımı, ağ tabanlı araçların ulaşamadığı kod düzeyindeki kategorileri ele almaktadır.
Statik kod analizi yeteneği, eksiksiz kaynak deposu taramasıyla başlar: ortamdaki her COBOL programı, RPG modülü, PL/I uygulaması, Java servisi, Python betiği ve JCL iş akışı, kaynak konumu, dili, boyutu ve önsel karmaşıklık profiliyle birlikte kataloglanır. Bu envanter, CMDB ve resmi uygulama kayıt defterinin uzlaştırıldığı temeldir; kaynak deposunda görünen ancak resmi envanterde bulunmayan programlar, birincil gizli uygulama bulgularını oluşturur.
Uygulama bağımlılık eşlemesi, dinamik CALL sorununu çözer: Program adının değişken olduğu dinamik çağrılar da dahil olmak üzere her programdaki her CALL ifadesini izleyerek, bağımlılık haritası, statik zamanlayıcı envanterlerinde hiç görünmeseler bile üretim süreçlerinden erişilebilen programları belirler. On üretim programı tarafından dinamik olarak çağrılan hayalet bir program, bağımsız bir JCL iş tanımı olmasa bile bağımlılık haritasında görünür.
JCL genişletme özelliği, her JCL iş akışının tüm yürütme zincirini izler: PROC referanslarını çözümleme, sembolik parametreleri genişletme ve her işin çağırdığı programların tam haritasını oluşturma. Bu harita resmi iş zamanlama dokümanıyla karşılaştırıldığında, dokümantasyon kapsamı olmadan üretimde çalışan işler ve programlar otomatik olarak ortaya çıkarılır.
Etki analizi özelliği, keşif bulgularını eyleme geçirilebilir hale getirir: keşfedilen her gizli program için, ona bağlı olan her üretim sürecini listeleyin. Bağımlılığı olmayan bir gizli program, güvenli bir şekilde kullanımdan kaldırılabilecek ölü kod adayıdır. Yirmi üretim bağımlılığı olan bir gizli program ise, acil yönetim müdahalesi gerektiren kritik, belgelenmemiş bir varlıktır. Etki kapsamı, iyileştirme önceliğini belirler.
Kurumsal arama özelliği, tüm envanteri sorgulanabilir hale getirir: belirli bir veri kümesine erişen her programı (potansiyel gölge veri işlem hattı adayları), belirli bir tarihten sonra yazılmış ve CMDB kaydı bulunmayan her programı (son gölge uygulamalar), standart veri yönetimi hiyerarşisinin dışındaki harici dosya yollarına yazan her programı bulun. Bu arama özelliği, hem ilk keşif çabasını hem de ilk temizliğin ardından gölge uygulama birikiminin yeniden başlamasını önleyen sürekli izlemeyi destekler.
Eski sistemlerin modernizasyon programlarını yürüten kuruluşlar için , gizli uygulama keşfi ön koşul niteliğinde bir adımdır. Resmi uygulama envanterine göre geçişi planlayan ve uygulama sırasında gizli uygulamaları keşfeden bir modernizasyon programı, taahhüt aşamasında kapsamı, zaman çizelgesi ve bütçesi tamamen yanlış olan bir modernizasyon programıdır. Planlamadan önce yapılması gereken keşif, maliyetinin en yüksek olduğu uygulama sırasında gerçekleşmektedir.
Yönetimin Yanıtı: Engellemek Değil, Görünürlük Sağlamak
2026 yılında gölge BT'yi etkili bir şekilde yöneten kuruluşlar, genel yasaklamanın işe yaramadığını ve ters teşvikler yarattığını öğrenmişlerdir. Gölge BT raporlaması çoğu kuruluşta tek bir nedenden dolayı başarısız olur: çalışanlar cezalandırılmayı bekler. Bir finans ekibi üyesi onaylanmamış bir gider takip aracı kullandığında ve bunu kendi kendine bildirdiğinde, uyarı ile karşılık veren bir güvenlik ekibi, o çalışanı ve onunla konuşan herkesi bir dahaki sefere sessiz kalmaları konusunda eğitmiştir.
Aynı prensip, gizli uygulama yazılımları için de geçerlidir. Kuruluşun bağımlı olduğu, iş açısından kritik öneme sahip bir COBOL yardımcı programı geliştiren bir geliştirici, o sırada açıkça iletilmemiş olabilecek bir yönetim sürecinden geçmediği için cezalandırılmamalıdır. Gizli uygulama keşfine yönelik yönetimsel yanıt şu şekilde olmalıdır:
Kayıt altına almak, kaldırmak değil. İş süreçlerinin kritik yolunda olduğu keşfedilen gizli programlar, kaldırılacak gizli programlar değil, yönetim kapsamı gerektiren belgelenmemiş üretim uygulamalarıdır. Bunları kaydedin, sahiplerini atayın, güvenlik durumlarını değerlendirin ve diğer tüm üretim uygulamalarıyla aynı yönetim disipliniyle ele alın.
Kendini ifşa etme affı. İş birimlerinin oluşturdukları gayri resmi uygulamaları ifşa etmeleri için güvenli kanallar yaratan bir yönetim programı, gölge yazılımları herhangi bir teknik keşif yaklaşımından daha hızlı bir şekilde ortaya çıkarır. İfşanın disiplin cezası yerine yönetim desteği, dokümantasyon yardımı, güvenlik incelemesi ve resmi kayıt ile sonuçlanacağına dair güvence, gizleme teşvikini ortadan kaldırır.
Süreç yoluyla önleme. Gölge uygulama birikiminin temel nedeni yönetimsel sürtünmedir: Yeni uygulama geliştirme talebi için resmi süreç, iş probleminin gerektirdiğinden daha yavaştır. Bu sürtünmeyi azaltmak, hafif hızlı geliştirme yönetimi, iş birimlerine entegre BT yönetimi desteği, düşük riskli dahili araçlar için basitleştirilmiş onay, sürekli teknik keşif gerektirmeden yeni gölge uygulama oluşturulma oranını düşürür.
Sahip olduğunuzu sandığınız envanter, aslında sahip olduğunuz envanter değildir.
BT'nin tuttuğu uygulama envanteri ile kurumsal ortamlarda fiilen çalışan uygulama yazılımları arasındaki fark, önemsiz bir tutarsızlık değildir. On yıllarca uygulama birikimine sahip büyük kuruluşlarda, belgelenmiş ve gerçek arasındaki fark, toplam programların yaklaşık yüzde otuzuna ulaşabilir. Belgelenmemiş yüzde otuzluk kısım, hassas verileri işleyen, mevzuata uyumluluk işlevlerini yerine getiren, iş süreçlerinin kritik yolunda yer alan ve kimsenin incelemeyi bilmediği için incelemediği güvenlik açıkları taşıyan programları içerir.
SaaS gölge BT keşif araçları, bu sorunun bulut katmanını iyi bir şekilde ele alıyor. Kod düzeyindeki gölge BT sorunu, yani kurumsal eski sistemleri dolduran özel programlar, hayalet yardımcı programlar, gayri resmi veri işlem hatları ve belgelenmemiş toplu işler, farklı bir yaklaşım gerektiriyor: ağ trafiğinin izlenmesi yerine, gerçek yazılım bileşenlerinin yapısal analizi. Bu analizden ortaya çıkan envanter, genellikle eksiksizliğiyle şaşırtıcıdır. Bu çalışmayı yapan kuruluşlar, üretimde çalıştırdıklarını düşündükleri şey ile gerçekte çalışan şeyin anlamlı derecede farklı iki şey olduğunu sürekli olarak görüyorlar. Bu boşluğu kapatmak, kuruluşun gerçekte ne çalıştırdığını bilmeye dayanan her yönetim, güvenlik, iş sürekliliği planı ve modernizasyon programının temelidir.
