Mitä on shadow IT ja miksi se on riski?

Shadow IT on yksi suurimmista näkymättömistä ongelmista yritysohjelmistojen hallinnassa. Käsite kattaa kaiken teknologian, ohjelmistot, sovellukset, pilvitallennuksen ja viestintävälineet, joita työntekijät käyttävät ilman IT:n tai hankinnan nimenomaista hyväksyntää. Ja sen laajuus on suurempi kuin useimmat organisaatiot tajuavat.

Miten shadow IT syntyy?

Shadow IT syntyy lähes aina aidosta ongelmasta. Työntekijä tarvitsee työkalun työnsä tekemiseen, hyväksymisprosessi kestää liian kauan tai IT:n tarjoama vaihtoehto on kömpelö. Lyhyin reitti on luoda ilmainen tili tai ottaa pieni tilaus yrityksen luottokortille.

Mikä alkaa yhdellä henkilöllä ja yhdellä työkalulla, kasvaa nopeasti. Kollegat liittyvät mukaan, tiedostoja jaetaan ei-hyväksytyillä alustoilla ja yrityksen luottamuksellista tietoa päätyy EU:n ulkopuolisille palvelimille, ilman että kukaan huomaa.

Miksi shadow IT on ongelma?

Shadow IT:llä on kolme konkreettista seurausta:

1. Turvallisuusriski. Ei-hyväksytyt työkalut eivät käy läpi turvallisuustarkistuksia, niitä ei päivitetä eikä valvota. Ne ovat avoin ovi tietovuodoille ja kyberhyökkäyksille.

2. Säädösten noudattamisen riski. Ei-hyväksytyillä työkaluilla käsitellyt tiedot jäävät organisaation GDPR-valvonnan ulkopuolelle. Tietovuodon sattuessa organisaatio on kuitenkin vastuussa.

3. Hukan riski. Organisaatiot maksavat keskitetystä ohjelmistosta, kun työntekijät käyttävät rinnakkain ilmaisia tai edullisia vaihtoehtoja. Yhteenkuuluvuus on mahdotonta ilman kokonaiskuvaa.

Shadow IT ja NIS2

NIS2-direktiivin myötä shadow IT:stä tulee entistä suurempi riski. Huolellisuusvelvoite edellyttää organisaatioita pitämään ajan tasalla kokonaiskuva kaikesta ohjelmistosta ja toimittajista, myös työkaluista, jotka on hankittu virallisen hankintaprosessin ulkopuolella. Shadow IT tekee tästä kuvasta automaattisesti epätäydellisen.

Miten shadow IT:hin puututaan?

Lähestymistapa ei ala kieltämisellä vaan ymmärtämisellä. Miksi työntekijät käyttävät tiettyjä työkaluja? Mitä hyväksytyistä vaihtoehdoista puuttuu? Vain kun nämä kysymykset on vastattu, voi tehokkaasti koota käyttöä yhteen ja parantaa virallista ohjelmistotarjontaa.

Käytännön askeleet: analysoi luottokorttilaskut ja faktuurit tuntemattomien ohjelmistotilausten varalta, toteuta kysely työntekijöille käytetyistä työkaluista, ja vie tulokset IT:lle ja hankinnalle yhtenäistä lähestymistapaa varten.