Mitä on varjoteknologia (shadow IT) ja miksi se on riski?

Varjoteknologia on yksi suurimmista näkymättömistä ongelmista yritysohjelmistojen hallinnassa. Käsite viittaa kaikkeen teknologiaan, ohjelmistoihin, sovelluksiin, pilvitallennukseen ja viestintävälineisiin, joita työntekijät käyttävät ilman IT- tai hankintaosaston selkeää hyväksyntää. Ja sen määrä kasvaa nopeammin kuin monet organisaatiot arvaavat.

Miten varjoteknologia syntyy?

Varjoteknologia syntyy lähes aina aidosta tarpeesta. Työntekijä tarvitsee työkalun tehtäviensä hoitamiseen, hyväksyntäprosessi kestää liian kauan tai IT:n tarjoama vaihtoehto on hankala. Lyhin tie on luoda ilmainen tili tai asettaa pieni tilaus yrityksen luottokortille.

Se, mikä alkaa yhdestä henkilöstä yhdellä työkalulla, kasvaa nopeasti. Kollegat liittyvät mukaan, tiedostoja jaetaan hyväksymättömien alustojen kautta ja arkaluonteva yritystieto päätyy EU:n ulkopuolisille palvelimille ilman, että kukaan huomaa.

Miksi varjoteknologia on ongelma?

Varjoteknologialla on kolme konkreettista seurauksia:

1. Turvallisuusriskit. Hyväksymättömiä työkaluja ei tarkasteta tietoturvan osalta, niitä ei päivitetä eikä valvota. Ne ovat avoin ovi tietovuodoille ja kyberhyökkäyksille.

2. Vaatimustenmukaisuusriskit. Hyväksymättömien työkalujen kautta käsiteltävä data jää organisaation GDPR-valvonnan ulkopuolelle. Tietovuodon sattuessa vastuu on kuitenkin organisaatiolla.

3. Hävikki. Organisaatiot maksavat keskitetystä ohjelmistosta, kun samaan aikaan henkilöstö käyttää rinnakkain ilmaisia tai halpoja vaihtoehtoja. Yhdistäminen on mahdotonta ilman tarkkaa kokonaiskuvaa.

Varjoteknologia ja NIS2

NIS2-direktiivin myötä varjoteknologia muodostaa entistä suuremman riskin. Huolehtimisvelvollisuus edellyttää, että organisaatiolla on ajantasainen kokonaiskuva kaikista ohjelmistoista ja toimittajista, myös niistä, jotka on hankittu virallisen hankintaprosessin ulkopuolelta. Varjoteknologia tekee tästä näkymästä aina epätäydellisen.

Miten varjoteknologiaa hallitaan?

Lähestymistapa ei ala kielteisestä kiellosta vaan ymmärryksestä. Miksi työntekijät käyttävät tiettyjä työkaluja? Mikä puuttuu virallisesta tarjonnasta? Vasta näihin kysymyksiin vastattuaan voi tehokkaasti yhdistää ja parantaa virallista ohjelmistotarjontaa.

Käytännön toimet: analysoi luottokorttilaskut ja kuitit tuntemattomien ohjelmistotilausten varalta, toteuta työntekijäkysely käytetyistä työkaluista, ja palauta löydökset IT:lle ja hankinnalle kokonaisvaltaista hallintaa varten.