Schaduw-IT is het gebruik van software, clouddiensten, hardware of andere IT-oplossingen binnen een organisatie zonder dat deze door de centrale IT-afdeling zijn goedgekeurd of beheerd. Denk aan een medewerker die een privé-laptop gebruikt, zelf een Google-account aanmaakt voor een project of bedrijfsgegevens invoert in een AI-tool zonder dat de organisatie hiervan op de hoogte is.
Schaduw-IT ontstaat vaak buiten het zicht van IT. Dat maakt het lastig om de beveiliging, gegevensverwerking en continuïteit van deze oplossingen te controleren.
Waarom is schaduw-IT een risico?
Het grootste probleem is niet dat medewerkers zelf oplossingen zoeken, maar dat de organisatie daardoor het overzicht verliest.
Een niet-goedgekeurde applicatie kan bijvoorbeeld bedrijfs- of persoonsgegevens verwerken zonder dat duidelijk is waar deze gegevens worden opgeslagen of wie er toegang toe heeft. Ook kunnen updates, toegangsrechten en beveiligingsmaatregelen ontbreken. Een privé-laptop waarop zakelijke bestanden staan, valt bovendien mogelijk buiten het reguliere beheer van uw IT-afdeling.
Daarmee vergroot schaduw-IT onder andere het risico op:
datalekken en verlies van bedrijfsgegevens;
onvoldoende beveiligde apparaten en accounts;
ongecontroleerde toegang tot bedrijfsinformatie;
problemen met privacy en compliance;
verlies van overzicht over gebruikte cloud- en SaaS-diensten;
extra beheerlast voor de IT-afdeling.
Waarom gebruiken medewerkers schaduw-IT?
Schaduw-IT is meestal geen gevolg van onwil. Medewerkers zoeken simpelweg naar een manier om hun werk gedaan te krijgen.
Een officiële aanvraag voor software of hardware kan bijvoorbeeld meerdere dagen duren, terwijl een gratis online dienst binnen enkele minuten beschikbaar is. Ook kan de standaardsoftware van een organisatie bepaalde functies missen die een team nodig heeft.
AI-tools maken dit probleem extra zichtbaar. Een medewerker kan met een gratis AI-dienst snel een tekst analyseren, een spreadsheet bewerken of een technische vraag beantwoorden. Als er binnen de organisatie geen goedgekeurd alternatief beschikbaar is, is de drempel om zelf een oplossing te gebruiken laag.
Schaduw-IT kan daarom ook iets positiefs laten zien: medewerkers signaleren waar bestaande IT-oplossingen tekortschieten. Het probleem ontstaat wanneer die oplossingen worden gebruikt zonder dat de organisatie de risico's kan beoordelen en beheren.
Hoe krijgt u grip op schaduw-IT?
Alleen schaduw-IT verbieden werkt meestal niet. Als medewerkers geen werkbaar alternatief hebben, zullen zij waarschijnlijk op zoek gaan naar een andere omweg.
Begin daarom met het verbeteren van de reguliere IT-dienstverlening. Zorg dat medewerkers snel toegang krijgen tot de software en hardware die zij nodig hebben. Maak het bovendien eenvoudig om nieuwe tools aan te vragen en geef teams een duidelijk kanaal om ontbrekende functionaliteit te melden.
Voorlichting is minstens zo belangrijk. Leg medewerkers uit waarom het gebruik van een willekeurige cloudapplicatie, AI-tool of privéapparaat risico's kan opleveren. Maak duidelijk welke oplossingen wel zijn toegestaan en waarom.
De rol van IT verschuift daarmee van verbieden naar faciliteren en beheren. Bied waar mogelijk goedgekeurde alternatieven voor veelgebruikte diensten en zorg voor een duidelijk beleid rond bijvoorbeeld AI, cloudopslag en privéapparaten.
Breng onbekende IT in kaart
Naast beleid en voorlichting zijn technische maatregelen belangrijk. Analyseer bijvoorbeeld firewall- en webproxylogs om te ontdekken welke cloud- en SaaS-diensten daadwerkelijk worden gebruikt. Denk aan cloudopslag, online PDF-converters en niet-goedgekeurde AI-diensten.
Een CASB (Cloud Access Security Broker) kan hierbij helpen. Oplossingen zoals Microsoft Defender for Cloud Apps kunnen gebruikte cloudapplicaties identificeren en informatie geven over de risico's van deze diensten.
Ook netwerkmonitoring kan onbekende apparaten zichtbaar maken. Daarmee kunt u bijvoorbeeld ontdekken welke privéapparaten verbinding maken met uw zakelijke netwerk.
Schaduw-IT voorkomen begint bij goede IT
Schaduw-IT is uiteindelijk vooral een symptoom. Wanneer medewerkers snel, veilig en eenvoudig toegang hebben tot de juiste IT-oplossingen, wordt de noodzaak om zelf alternatieven te zoeken kleiner.
Een effectieve aanpak combineert daarom technische controle, duidelijke richtlijnen, goede voorlichting en toegankelijke IT-dienstverlening. Zo houdt u zicht op welke technologie binnen uw organisatie wordt gebruikt, zonder innovatie en praktische oplossingen onnodig in de weg te zitten.