Belangrijkste punten
- Shadow IT verwijst naar niet-geautoriseerde devices, apps of diensten buiten het beheer van IT, met serieuze risico’s voor beveiliging en compliance.
- Medewerkers kiezen voor niet-goedgekeurde software door inefficiënte tools, trage goedkeuringen, productiviteitsdruk en een gebrek aan beveiligingsbewustzijn.
- Naast niet-goedgekeurde software gelden ook gedeelde referenties, persoonlijke devices en niet-geautoriseerde cloudopslag als vormen van shadow IT.
- Training, het volgen van ongebruikelijke netwerkactiviteit en het signaleren van misbruik van IT-activa en referenties zijn gangbare manieren om nieuwe incidenten te voorkomen.
Shadow IT blijft door de aard ervan vaak buiten beeld bij IT-securityteams. Daardoor lopen organisaties regelmatig het risico privacywetgeving te overtreden, hun IT-budget te vertekenen en zich bloot te stellen aan kwaadwillenden. In een omgeving waarin op afstand wordt gewerkt vormt shadow IT een nieuwe dreiging die actief beheerd moet worden.
→ Download uw gratis Shadow IT-rapport [PDF]
Wat is shadow IT?
Shadow IT is het gebruik van informatietechnologie die niet door de IT-afdeling van een organisatie wordt beheerd. Dat kan van alles zijn: van het gebruik van een niet-goedgekeurd persoonlijk device tot het downloaden van software of applicaties waarvoor de IT-afdeling geen toestemming heeft gegeven.
Shadow IT-gedrag begrijpen
De opkomst van onconventionele manieren van werken die de afgelopen jaren normaal zijn geworden, heeft bedrijven en organisaties voor veel uitdagingen gesteld.
Eén daarvan is het beschermen van bedrijfsgegevens tegen datalekken en ongeoorloofde toegang. Het verstrekken van goedgekeurde devices zorgt voor een basisniveau aan controle.
Toch blijven er obstakels die de risico’s van shadow IT vergroten. Het gaat daarbij om IT-gedrag van medewerkers zelf dat bijdraagt aan de risico’s van shadow IT.
Voorbeelden van shadow IT
Om een beter beeld te krijgen van shadow IT, volgen hier enkele veelvoorkomende voorbeelden:
- Niet-goedgekeurde software downloaden. Het lijkt misschien onschuldig om software en applicaties te downloaden en installeren via een officiële distributeur, maar dat betekent niet dat het volledig veilig is. Sommige software vraagt gebruikers om toestemming voor toegang tot gevoelige gegevens, systeembronnen, netwerkverbindingen enzovoort. Eén verkeerde klik waarmee die rechten worden verleend kan leiden tot datalekken, overtredingen van compliance of zelfs malware-infecties.
- Inloggegevens delen. Het delen van inloggegevens is een andere gewoonte die een duidelijk risico op een beveiligingslek met zich meebrengt. Gebruikersnamen en wachtwoorden horen niet met anderen gedeeld te worden. Daarmee brengt u de beveiliging van de accounts van de gebruiker eenvoudig in gevaar en zet u de deur open voor misbruik.
- Persoonlijke devices gebruiken voor werk. Steeds meer bedrijven verstrekken medewerkers devices die uitsluitend voor werk bedoeld zijn. Toch gebruiken sommige medewerkers hun persoonlijke devices, ondanks het risico dat bedrijfsgegevens worden blootgesteld aan malware of dat persoonlijke gegevens via werkapplicaties in gevaar komen.
- Niet-geautoriseerde cloudopslagdiensten gebruiken. Medewerkers zijn geneigd cloudopslag te gebruiken die eenvoudig toegankelijk is. Deze niet-geautoriseerde cloudopslag vormt een aanzienlijk beveiligingsrisico en kan zelfs leiden tot het verlies van kritieke bedrijfsgegevens, met operationele verstoringen, reputatieschade en forse boetes tot gevolg.
- Niet-geautoriseerde communicatietools inzetten. Het delen van vertrouwelijke informatie via communicatietools die niet door uw organisatie zijn goedgekeurd kan leiden tot ernstige schendingen van beveiligingsprotocollen en gevoelige gegevens in gevaar brengen.
Factoren die shadow IT in de hand werken
Ondanks de risico’s kiezen gebruikers om verschillende redenen voor shadow IT:
Eén reden is dat de goedgekeurde tools van de organisatie als inefficiënt of ontoereikend worden ervaren. Gebruikers gaan daardoor op zoek naar alternatieve IT-systemen om hun workflows te stroomlijnen. Een andere factor is het langdurige proces om officiële IT-oplossingen aan te schaffen, waardoor gebruikers kiezen voor niet-geautoriseerde tools om sneller over de benodigde functionaliteit te beschikken.
Soms is productiviteit de drijfveer om niet-goedgekeurde IT-systemen te gebruiken. Sommigen werken productiever met hun eigen devices omdat ze daar al mee vertrouwd zijn. Anderen gebruiken software met specifieke functies die niet beschikbaar zijn in de goedgekeurde software, wat tot meer efficiëntie en productiviteit kan leiden.
Tot slot kan een gebrek aan bewustzijn over de beveiligingsrisico’s van shadow IT ervoor zorgen dat deze praktijken verder om zich heen grijpen. Zonder goed begrip van de gevolgen van shadow IT-gedrag, stellen gebruikers ongemerkt gevoelige bedrijfsgegevens bloot.
De negatieve gevolgen van shadow IT
Nu de motieven voor shadow IT duidelijk zijn, is het belangrijk stil te staan bij de gevaren voor een organisatie. Zoals gezegd brengt shadow IT risico’s op datalekken en gegevensverlies met zich mee en die nemen toe door het gebruik van AI. Uit het Cost of a Data Breach Report 2026 van IBM blijkt dat 43% van de organisaties te maken kreeg met een incident door het gebruik van shadow AI, met hogere gemiddelde kosten per datalek van 5,39 miljoen dollar tot gevolg.
Shadow IT kan IT-infrastructuren ook blootstellen aan duidelijke kwetsbaarheden. Niet-geautoriseerde software en devices missen doorgaans de beveiligingspatches en updates die bedrijven doorvoeren. Zo ontstaan mogelijke toegangspunten voor malware en cyberaanvallen die het hele netwerk in gevaar brengen, met grootschalige verstoringen, gegevensverlies en financiële schade tot gevolg.
De voor- en nadelen van shadow IT
Shadow IT zou eenvoudig te vermijden zijn als het alleen maar negatieve gevolgen had. Naast de aanzienlijke risico’s biedt shadow IT echter ook voordelen voor de gebruiker.
Voordelen:
- Tevreden medewerkers. Niet-geautoriseerde tools die workflows versnellen kunnen de werkdruk van een medewerker verlichten.
- Hogere productiviteit. Wanneer gebruikers tevreden zijn over het niet-goedgekeurde IT-systeem, kunnen efficiëntie en productiviteit toenemen.
- Introductie van innovatie. Het gebruik van niet-goedgekeurde IT-systemen kan leiden tot de ontdekking van innovatievere tools en efficiëntere manieren van werken
- Flexibiliteit en aanpassingsvermogen. Met shadow IT gebruiken medewerkers tools die ze kennen en waarmee ze goed overweg kunnen. Dat verkort de leercurve en kan de efficiëntie verhogen.
- Samenwerking: shadow IT met niet-geautoriseerde communicatiekanalen kan de samenwerking tussen gebruikers efficiënter maken.
- Personalisatie: shadow IT-tools bieden vaak meer mogelijkheden tot personalisatie dan de gestandaardiseerde oplossingen van de IT-afdeling, die voor iedereen hetzelfde zijn.
Nadelen:
- Blootstelling aan kwetsbaarheden. Shadow IT-tools zijn een gemakkelijk doelwit voor cyberaanvallen omdat ze vaak de beveiligingsfuncties en -protocollen missen die het IT-team van een organisatie hanteert.
- Niet voldoen aan regelgeving. Shadow IT-tools missen regelmatig ook de essentiële waarborgen om te voldoen aan branchevoorschriften, waardoor de organisatie een aanzienlijk risico loopt.
- Beperkte ondersteuning. Goedgekeurde IT-systemen zijn er om eventuele problemen direct op te lossen. Shadow IT-tools beschikken vaak niet over een volledig toegewijde supportinfrastructuur, waardoor technische problemen moeilijker op te lossen zijn.
- Gegevensverlies. Shadow IT-tools vergroten het risico op verlies van gevoelige gegevens, omdat niet-geautoriseerde tools vaak maatregelen voor gegevensbescherming missen.
- Financiële schade. Datalekken door shadow IT-tools kunnen leiden tot omzetverlies door boetes van toezichthouders, kosten voor incidentrespons, operationele uitvaltijd enzovoort.
- Problemen met versiebeheer. Meerdere versies van niet-geautoriseerde software binnen een organisatie kunnen compatibiliteitsproblemen veroorzaken en de samenwerking bemoeilijken.
Naast deze factoren kunt u ons volledige rapport What We Do in the Shadows: The Dangers of Hidden IT Behavior downloaden om te lezen wat we hebben geleerd uit een community-onderzoek over shadow IT.
Shadow IT-gedrag beheersen
Door de opkomst van hybride werken en werken op afstand vinden sommige medewerkers shadow IT-tools nuttig. De voordelen van deze niet-geautoriseerde IT-systemen zijn echter meestal van korte duur. Hoewel het voor organisaties lastig is om shadow IT volledig uit te bannen, zijn er manieren om de risico’s te beheersen en te beperken. Een systeem voor endpoint management zoals NinjaOne is daarbij een ideale bondgenoot.
NinjaOne helpt IT-teams shadow IT-gedrag te beheren en te beperken. Met de functies krijgt u realtime inzicht in uw netwerk, automatiseert u routinetaken en handhaaft u beveiligingsbeleid, terwijl medewerkers gebruiksvriendelijke toegang houden tot goedgekeurde IT-oplossingen die de beveiliging en de tevredenheid vergroten. Zo ontstaat een veilige en productieve werkomgeving die kritieke gegevens en assets beschermt en medewerkers doorlopend ondersteunt.
Krijg een helderder beeld van uw IT-omgeving en beheer uw assets beter met de IT-assetmanagement software van NinjaOne
Start een gratis trial of bekijk hier een demo
Gerelateerde onderwerpen:
