Shadow IT is hardware, software of clouddiensten die binnen een organisatie worden gebruikt zonder medeweten of goedkeuring van de IT-afdeling.
Shadow IT is hardware, software of clouddiensten die binnen een organisatie worden gebruikt zonder medeweten of goedkeuring van de IT-afdeling. De naam klopt: het draait in de schaduw van de officiële lijst met toegestane tools - het bestandsdeelaccount dat iemand opende om een groot bestand te sturen, het projectbord dat een team op een gratis proefperiode in gebruik nam, de reserverouter onder een bureau. Het is zelden kwaadwillig. Bijna altijd lost iemand een echt probleem sneller op dan de officiële route zou doen, op privéapparaten die richting BYOD neigen of op niet-goedgekeurde apparaten die IT nooit heeft gezien.
Gangbare voorbeelden van shadow IT
- Gratis SaaS-aanmeldingen - bestandsdeling, notities, ontwerptools, chat, projectborden, in enkele minuten aangemaakt met een werkmail.
- Afdelingsabonnementen - betaalde tools gekocht op een teamcreditcard en gedeclareerd, nooit gemeld aan IT, zonder dat iemand de voorwaarden leest.
- AI-tools - assistenten en transcriptiediensten waar medewerkers bedrijfsgegevens in plakken zonder dat iemand nagaat waar die gegevens naartoe gaan.
- Privéhardware - USB-sticks met werkbestanden, privélaptops die thuis worden gebruikt, een zelf gekochte webcam of scanner aangesloten omdat de officiële nooit binnenkwam.
- Materiaal buiten het register - spullen die van kleingeld zijn gekocht, fysiek bestaan maar in geen enkele IT-inventaris staan, en dus nooit worden bijgewerkt, verzekerd of bij uitdiensttreding teruggevorderd.
Waarom shadow IT ontstaat
Shadow IT groeit in het gat tussen wat mensen nodig hebben en hoe lang de officiële route duurt. Een inkoopproces dat in zes weken reageert, legt het af tegen een gratis proefperiode die negentig seconden kost. Het groeit ook waar de goedgekeurde tool echt slechter is: mensen omzeilen IT niet voor de lol, ze omzeilen wrijving. Daarom laat shadow IT zich het best lezen als feedback - een actuele kaart van waar het goedgekeurde aanbod tekortschiet.
De risico's
- Gegevens die niemand kan ophalen of wissen - vertrekt iemand, dan blijven de bestanden achter in een account dat het bedrijf niet beheert.
- Geen vangnet - tools buiten het zicht vallen buiten de back-ups, de MFA-verplichting en de beveiligingsupdates.
- Licentie- en contractrisico - niet-goedgekeurde tools betekenen ongelezen voorwaarden, dubbele uitgaven en verrassingen bij een software-audit.
- Blinde vlekken in compliance - persoonsgegevens in onbekende systemen zijn een probleem onder de AVG, en “we wisten niet dat het bestond” is geen verweer.
- Niet-geregistreerde apparaten - hardware die in geen register staat, kan niet worden beveiligd, gecontroleerd of teruggevraagd.
Hoe u shadow IT opspoort
De weinig spectaculaire methoden werken het best. Bekijk declaraties en creditcardafschriften op terugkerende kleine abonnementen. Controleer de logs van single sign-on en DNS op populaire SaaS-domeinen; voor grotere omgevingen bestaan er aparte tools die clouddiensten in kaart brengen. Behandel de periodieke inventarisatie en elke uitdiensttreding als ontdekkingsmomenten - juist bij de overdracht van een vertrekker komen onbekende accounts en apparaten bovendrijven. En vraag teams simpelweg wat ze echt gebruiken; de meeste mensen vertellen het, want ze hebben het nooit verborgen, het werd alleen niet geblokkeerd.
Shadow IT terugdringen in de praktijk
Alleen verbieden duwt het gebruik verder de schaduw in. Wat wél werkt, is de goedgekeurde route sneller maken dan de omweg: een korte lijst goedgekeurde tools, een aanvraagroute die snel antwoordt, en een zichtbaar register zodat mensen zien wat er al is voordat ze opnieuw iets kopen. AMPthilly ondersteunt dit patroon met een aanvraag- en verlanglijstmogelijkheid voor medewerkers die naar een goedkeurder wordt gestuurd, zodat de juiste tool vragen sneller gaat dan iets buiten de boeken om kopen - en alles wat is goedgekeurd, belandt in het register met een eigenaar en een geschiedenis.
Gerelateerde termen
- Endpoint - elk apparaat op het netwerk, bekend of niet
- MDM - apparaatbeheer dat alleen de apparaten dekt die IT kent
- BYOD - privéapparaten op het werk, de naaste buur van shadow IT
- Hardware Asset Management - de registerdiscipline die onbekend materiaal zichtbaar maakt
- IT-inventaris - de periodieke telling waarbij verborgen assets aan het licht komen