Software não autorizado nos PCs da empresa: como detectar o shadow IT antes do prejuízo

Detectar software não autorizado — o tal do shadow IT — se resume a duas coisas: saber o que está instalado em cada PC e ser avisado no momento em que aparece algo fora da lista aprovada. O Argos mantém um inventário de software por máquina em toda a frota e pode te avisar no mesmo dia em que alguém instala um TeamViewer que ninguém pediu, um app de criptomoeda ou uma ferramenta feita para tirar dados da empresa.

Toda empresa com mais de meia dúzia de computadores tem uma versão dessa história. Um técnico de fora instalou o AnyDesk "só pra resolver rapidinho" oito meses atrás — e ele continua lá, com acesso remoto ao PC do faturamento. Um funcionário baixou um jogo para as horas vagas. Outro logou o Dropbox pessoal na máquina do escritório e sincroniza pastas de clientes para a conta particular desde então. Sem má intenção, só por comodidade.

Nada disso passou por você. Ninguém aprovou. E até você sentar fisicamente naquela máquina — o que, sendo realista, não vai acontecer nunca —, é como se não existisse.

Isso é shadow IT: software rodando nos computadores da empresa sem a empresa saber. Quase nunca é sabotagem; na maioria das vezes é gente resolvendo o próprio trabalho com a ferramenta que estava mais à mão. O problema é que cada instalação não aprovada é uma porta que você nem sabe que tem.

Por que o shadow IT é mais sério do que parece

Um programa não aprovado não é só "um app a mais". Dependendo do que for, o risco muda de categoria:

• Acesso remoto clandestino. Um TeamViewer ou AnyDesk esquecido de um suporte antigo é uma entrada permanente naquela máquina. Se a conta por trás dele for comprometida — ou se o técnico que instalou nem presta mais serviço para vocês —, alguém entra sem encostar na sua rede.
• Vazamento silencioso de dados. Clientes de nuvem pessoal (Dropbox, Drive pessoal, MEGA) sincronizam pastas da empresa para contas que você não controla. No dia em que aquele funcionário sai, os arquivos saem junto — e você nunca viu nada saindo.
• Software pirata. Um Office ou Photoshop crackeado traz dois problemas de uma vez: o instalador costuma vir acompanhado de malware, e a multa por licenciamento numa fiscalização cai na empresa, não em quem instalou.
• Mineradores e apps de cripto. Queimam CPU e energia das suas máquinas em benefício de terceiros, e costumam vir de fontes que nenhum antivírus corporativo aprovaria.
• Jogos e apps pessoais. O menor risco de segurança da lista, mas o mais visível em produtividade — e um sinal claro de que naquela máquina se instala qualquer coisa sem atrito nenhum.

Nenhum desses manda e-mail avisando que chegou. Todos levam dois minutos para instalar e ficam meses.

Os sinais clássicos de shadow IT numa frota

Antes de qualquer ferramenta, ajuda saber o que procurar. Estes são os padrões que mais se repetem:

| Sinal | O que costuma significar | |---|---| | Ferramentas de acesso remoto que a TI não instalou (TeamViewer, AnyDesk, RustDesk) | Porta dos fundos esquecida de um suporte antigo, ou alguém acessando de casa por conta própria | | Clientes de nuvem pessoal em máquinas com dados de clientes | Arquivos da empresa sincronizando para contas particulares | | Navegadores ou VPNs estranhos (Tor, VPNs gratuitas, proxies) | Alguém contornando os controles de rede da empresa | | Processos de nome genérico consumindo CPU o tempo todo | Provável minerador de criptomoeda | | Launchers de jogos (Steam, Epic) em máquinas de trabalho | Uso pessoal do equipamento, instalação sem controle | | Software licenciado que ninguém comprou | Cópias piratas, com o risco jurídico e de malware que trazem | | Utilitários de cópia em massa ou "recuperação" aparecendo pouco antes de um pedido de demissão | O clássico prelúdio de dados saindo junto com o funcionário |

Ver um desses sinais uma vez não é crise. O padrão perigoso é não ter como enxergá-los nunca.

Da auditoria manual ao inventário que se mantém sozinho

A resposta clássica ao shadow IT é a auditoria manual: alguém passa de máquina em máquina com uma lista e monta uma planilha. Funciona exatamente uma vez. Uma semana depois alguém instala alguma coisa e a sua planilha já está mentindo.

O que você precisa não é de uma foto, é de um filme:

1. Linha de base. Saber o que está instalado hoje em cada máquina, sem andar até nenhuma delas.
2. Lista do aprovado. Definir que software é normal na sua operação. Não precisa nascer perfeita; vai se afinando com o uso.
3. Aviso quando aparece algo novo. O que estiver fora da lista e surgir numa máquina deve gerar alerta na hora, não esperar a próxima auditoria.
4. Capacidade de agir remotamente. Detectar sem poder responder só gera frustração: você precisa inspecionar a máquina e remover o que não devia estar lá sem se deslocar.

Como o Argos resolve

O Argos instala um agente leve em cada PC Windows da frota e, a partir daí, o inventário deixa de ser projeto e vira um dado sempre atualizado:

• Inventário de software por máquina. De um painel só, você vê o que cada PC da frota tem instalado, sem pedir print para ninguém. "Em quantas máquinas tem AnyDesk?" vira pergunta de dez segundos, não uma tarde de ligações.
• Alerta quando aparece software novo. Você configura regras de notificação e, quando surge algo fora do aprovado numa máquina, o aviso chega por Telegram, e-mail ou webhook. Você fica sabendo no dia da instalação, não no trimestre da auditoria.
• Uso por aplicativo. Não só o que está instalado, mas o que está de fato rodando e por quanto tempo. Um programa instalado há um ano que ninguém abre é ruído; um que roda quatro horas por dia no PC do financeiro é outra conversa.
• Resposta remota. Se algo não devia estar ali, você abre um terminal remoto ou assume o controle da máquina e remove de onde estiver — com registro de quem fez o quê.

O detalhe do que mais o agente vigia em cada máquina — postura de segurança, atividade, desempenho — está na página de funções de segurança.

Um plano realista para esta semana

• Instale o agente em toda a frota e deixe o inventário se preencher sozinho.
• Percorra a lista resultante procurando os sinais da tabela acima. Quase sempre aparece alguma coisa já no primeiro dia.
• Decida o que fica, o que sai e o que passa a ser oficialmente aprovado. O shadow IT às vezes revela uma necessidade real: se metade da empresa instalou a mesma ferramenta por conta própria, talvez a empresa devesse fornecê-la.
• Ative o alerta de software novo primeiro nas máquinas sensíveis: faturamento, financeiro, diretoria.
• Repita a revisão completa uma vez por mês; os alertas cobrem o dia a dia entre uma revisão e outra.

Perguntas frequentes sobre detecção de software não autorizado

É legal verificar que software está instalado nos computadores dos funcionários? Em equipamentos da empresa, com uma política de uso comunicada, inventariar o software instalado é prática padrão de administração de TI na maioria dos países. O recomendável é formalizar isso na política interna e avisar os funcionários — além de proteger juridicamente, a transparência sozinha já elimina boa parte do shadow IT.

O Argos bloqueia a instalação de programas? Não — o Argos detecta e avisa, não impede. O bloqueio de instalação se faz com permissões do Windows (contas sem privilégio de administrador), e é um bom complemento. A visibilidade vem primeiro por uma razão prática: enquanto você não sabe o que existe e o que continua aparecendo, qualquer política de bloqueio é no escuro.

E os apps portáteis, que rodam de um pendrive e nunca são instalados? É exatamente aí que o inventário sozinho não alcança e o monitoramento de uso por aplicativo completa o quadro: o Argos vê que aplicações de fato rodam em cada máquina, instaladas ou não. Um executável portátil aberto de uma pasta temporária aparece no uso mesmo sem nunca ter passado por instalador.

Não vou me afogar em alertas a cada atualização do Windows? Não — o alerta dispara com software novo fora do esperado, não com mudança de versão do que já está aprovado. As regras são configuradas por máquina ou por grupo, então você pode ser rigoroso no PC do faturamento e tranquilo no da sala de reunião.

Quer ver como fica um alerta de software não autorizado numa frota de verdade? Abra a visão de alertas na demo — dois minutos para ver o que hoje você não está vendo nas suas próprias máquinas.