Hvad er shadow IT, og hvorfor er det en risiko?

Shadow IT er et af de største blinde punkter i virksomheders softwareadministration. Begrebet dækker over al teknologi, software, apps, cloudlagring, kommunikationsværktøjer, som medarbejdere bruger uden udtrykkelig godkendelse fra IT eller indkøb. Og det vokser hurtigere, end de fleste organisationer er klar over.

Hvordan opstår shadow IT?

Shadow IT opstår næsten altid som en løsning på et reelt problem. En medarbejder har brug for et værktøj for at kunne udføre sit arbejde, godkendelsesproceduren tager for lang tid, eller det alternativ, IT tilbyder, er upraktisk. Den nemmeste løsning er at oprette en gratis konto eller tilknytte et lille abonnement til virksomhedens kreditkort.

Hvad der starter som én person med ét værktøj, vokser hurtigt. Kollegaer tilslutter sig, der deles filer via ikke-godkendte platforme, og følsomme virksomhedsdata ender på servere uden for EU, uden at nogen opdager det.

Hvorfor er shadow IT et problem?

Shadow IT har tre konkrete konsekvenser:

1. Sikkerhedsrisici. Ikke-godkendte værktøjer bliver ikke tjekket for sikkerhed, opdateret eller overvåget. De udgør en åben dør for databrud og cyberangreb.

2. Compliance-risici. Data, der behandles via ikke-godkendte værktøjer, falder uden for organisationens GDPR-kontrol. Ved et databrud er organisationen alligevel ansvarlig.

3. Spild. Organisationer betaler for centraliserede værktøjer, mens medarbejdere parallelt bruger gratis eller billige alternativer. Konsolidering er umulig uden overblik.

Shadow IT og NIS2

Med NIS2 bliver shadow IT en endnu større risiko. Oplysningspligten kræver, at organisationer har et opdateret overblik over al software og leverandører, inklusive værktøjer, der er anskaffet uden for det formelle indkøbsforløb. Shadow IT gør dette overblik per definition ufuldstændigt.

Hvordan håndterer du shadow IT?

Tilgangen begynder ikke med forbud, men med forståelse. Hvorfor bruger medarbejdere bestemte værktøjer? Hvad mangler i det godkendte udvalg? Først når du har besvaret de spørgsmål, kan du effektivt konsolidere og forbedre det formelle softwareudbud.

Praktiske trin: analyser kreditkortoversigter og fakturaer for ukendte softwareabonnementer, lav en medarbejderundersøgelse om brugte værktøjer, og del resultaterne med IT og indkøb for en samlet indsats.