Wat is schaduw-IT en waarom moet je het serieus nemen?

Schaduw-IT vind je in elk bedrijf.

Schaduw-IT ontstaat overal waar medewerkers zelf software, apps of clouddiensten gebruiken, buiten de officiële IT-omgeving van het bedrijf zelf om. Voorbeelden hiervan zijn een gratis planningstool die iemand downloadt, een chatbot die snel zaken voor je uitzoekt of een online platform waarmee je eenvoudig een nieuwsbrief kunt versturen. Medewerkers gebruiken ze met de beste bedoelingen: het werkt sneller, het is makkelijker of ze werken beter dan de officiële tools die het bedrijf heeft geïnstalleerd.

In het gebruik van schaduw-IT schuilt wel een groot gevaar: wanneer jouw marketingafdeling bijvoorbeeld een handige online tool gebruikt om klanten sneller te benaderen, dan is de kans groot dat er persoonsgegevens in staan. Klantnamen, e-mailadressen, aankoopgeschiedenis, etc. worden dan zo maar toevertrouwd aan software waarvan je als eigenaar of IT-verantwoordelijke niet eens weet dat deze in het bedrijf wordt gebruikt. Belangrijker nog: niemand heeft de tool laten goedkeuren, niemand heeft gecheckt waar de data staat en niemand kan je vertellen wat er gebeurt als het misgaat.

Onderzoek laat zien dat vrijwel elk bedrijf met meer dan twintig medewerkers met schaduw-IT te maken heeft. Denk aan bekende tools als ChatGPT, Copilot en andere AI-toepassingen. Maar minstens net zo vaak zijn het kleinere, onbekende apps voor planning, opslag, communicatie of klantbeheer. De reden is simpel: een medewerker die tegen een beperking aanloopt, zoekt een oplossing die nu werkt. En die oplossing is door cloudsoftware tegenwoordig slechts een paar klikken verwijderd.

Welke gevaren liggen er op de loer?

Het probleem zit niet in de intentie van je medewerkers, met die intentie zit het doorgaans wel goed. Het probleem is dat je als bedrijf verantwoordelijk blijft voor alle data. Ook wanneer er data in software wordt gebruikt waarmee geheel buiten jouw gezichtsveld wordt gewerkt. Zodra bedrijfs- en persoonsgegevens buiten je zicht worden verwerkt, verlies je alle grip op precies die zaken, waar goede cyberbeveiliging en de AVG om vragen:

● Weet je exact welke persoonsgegevens er verwerkt zijn buiten jouw gezichtsveld om?

● En weet je dan waar deze persoonsgegevens staan? Bij cloudsoftware-diensten staan deze vaak op servers buiten de EU, bij aanbieders waarvan je de voorwaarden nooit hebt gezien.

● Wie heeft er toegang tot de data? Zonder centraal beheer weet niemand wie kan inloggen, ook niet nadat iemand bijvoorbeeld uit dienst is getreden. Met name dit laatste punt wordt vaak vergeten: een ex-medewerker heeft soms nog steeds toegang tot gevoelige klantdata, omdat hij/zij kan inloggen met het privé-account dat in de gratis tool ooit door hem of haar is aangemaakt.

● Hoe lang worden gegevens in de cloudsoftware bewaard? Zonder afspraken lopen bewaartermijnen vaak gewoon door.

● Wat gebeurt er bij een datalek? Als het misgaat bij een tool die je niet kende, hoor je het mogelijk pas als het te laat is, terwijl de meldplicht datalekken wel degelijk ook voor jou geldt!

Dat laatste raakt de kern: jouw aansprakelijkheid als ondernemer stopt niet bij de grens van wat je zelf aan IT hebt ingericht. Als een toezichthouder of klant vraagt hoe jouw bedrijf met data en persoonsgegevens omgaat, dien je exact te weten waar en hoe gegevens worden opgeslagen en beveiligd. Een antwoord als “we wisten niet dat deze software er was” is helaas geen antwoord waarmee je wegkomt.

Wat kun je doen om het zo veilig mogelijk te houden?

Schaduw-IT is gevaarlijk; het is vaak de plek waar een datalek of hack plaatsvindt en bovendien het langst onopgemerkt blijft. Schaduw-IT daarentegen volledig verbieden werkt niet of zelden. Want als medewerkers iets specifieks nodig hebben, vinden ze altijd een weg naar software die wel werkt. Weet en accepteer dit. Maar probeer tegelijkertijd de IT-omgeving zo veilig mogelijk te houden. Deze drie stappen helpen je erbij:

1. Inventariseer welke schaduw-IT er gebruikt wordt. Informeer ernaar. Stel gewoon de vraag binnen teams, welke tools er naast de reguliere IT worden gebruikt om het werk te doen. Je kunt ook technische hulpmiddelen gebruiken die netwerkverkeer en clouddata-gebruik zichtbaar maken. Alles vanuit de gedachte dat je pas iets kunt beheersen, wanneer je het kent.

2. Ga het gesprek aan, achterhaal de onderliggende behoefte. In een open cultuur zijn medewerkers niet bang om het gebruik van niet-goedgekeurde tools te melden. Binnen zo’n cultuur kun je met open vizier een inhoudelijk gesprek aangaan. Want als een team een eigen tool gebruikt, is dat vaak een signaal dat de officiële voorzieningen tekortschieten. Achterhaal waarom een tool uit de cloud aantrekkelijker is dan jouw tool. Wat zijn de voordelen van die software en begrijp waarom een medewerker deze software gebruikt?

3. Bied een door jou goedgekeurd alternatief. Als medewerkers ook cloudsoftware nodig hebben, zie dit dan als een signaal. Pak het op, luister ernaar en kom zelf met een goedgekeurd en veilig alternatief. Vaak kunnen nu nog ontbrekende functionaliteiten tegen betaling aan reeds goedgekeurde software worden toegevoegd. Zo voorkom je zoveel mogelijk dat medewerkers eigen tools gaan gebruiken.

Wat Securide bij schaduw-IT kan betekenen

Schaduw-IT verdwijnt niet door het te negeren en met de juiste aanpak is het beheersbaar te maken. Het begint met weten wat er binnen je organisatie gebeurt om van daaruit bewust keuzes maken over welke risico's je accepteert en welke niet.

Met de CyberCheck van Securide brengen we de cyberveiligheid en cyberweerbaarheid van je bedrijf volledig in kaart, op technisch, menselijk én organisatorisch niveau. Zo zie je niet alleen welke schaduw-IT er binnen je organisatie speelt, maar ook waar je beveiliging, beleid en processen versterking nodig hebben. Een concreet startpunt om grip te krijgen op risico's die mogelijk nu nog onzichtbaar zijn.