Schaduw-IT: geen ongehoorzaamheid, een gat in je aanbod

Wat het is en waarom het ontstaat

Schaduw-IT is elk stuk software, opslag of dienst dat voor het werk gebruikt wordt zonder dat de IT-organisatie ervan weet. Een projectplanner die een team zelf heeft aangeschaft. Een bestandsdeeldienst waar de marketingafdeling het beeldmateriaal in zet. Een formulierendienst waar sollicitaties in binnenkomen. Een AI-assistent op een privé-account.

Het beeld dat daarbij hoort is dat van medewerkers die de regels omzeilen. Dat beeld klopt zelden. Wat er in werkelijkheid gebeurt is dit: iemand heeft iets nodig, vraagt het aan, hoort dat er een beoordeling en een aanbesteding aan vastzit, kijkt naar de datum waarop het project af moet, en lost het zelf op voor negen euro per maand.

Zo bekeken is schaduw-IT niet een probleem van gedrag maar een meting. Het meet het verschil tussen wat mensen nodig hebben en wat ze via de officiële weg op tijd kunnen krijgen. Een organisatie met veel schaduw-IT heeft geen ongehoorzame medewerkers; hij heeft een aanvraagproces dat te traag is voor het werk dat eraan hangt.

Dat verklaart ook waarom opruimen zonder de oorzaak aan te pakken niet werkt. Zet je alles uit, dan staat er binnen een half jaar iets nieuws — alleen dan beter verstopt, want nu weet iedereen dat er op gelet wordt.

Wat er werkelijk misgaat

De tool zelf is meestal niet het probleem. Wat ontbreekt is alles wat er normaal gesproken omheen staat.

• Er is geen verwerkersovereenkomst. Staan er persoonsgegevens in — klantnamen, sollicitanten, ziekmeldingen — dan ben je onder de AVG verantwoordelijk voor een verwerking waar je geen afspraak over hebt. Dat is een tekortkoming die je niet kunt repareren op de dag dat iemand ernaar vraagt.
• Er is geen back-up. Niet omdat de dienst er geen heeft, maar omdat niemand die van jullie kant heeft gecontroleerd. Valt de leverancier om of raakt het account kwijt, dan is de inhoud weg en staat er niets in je herstelplan over.
• Uitdiensttreding gaat eraan voorbij. Je zet iemands account in je eigen omgeving uit en denkt dat hij eruit is. Het abonnement dat op zijn naam staat en met zijn privémail is aangemaakt, blijft gewoon werken — inclusief de bestanden erin.
• Niemand weet dat het bestaat. Dat merk je pas als het uitvalt. Dan staat er een team stil met een dienst waar geen contract, geen contactpersoon en geen supportafspraak bij hoort, en komt het bij een servicedesk binnen die er niets van weet.
• Het rekeningnummer is een privérekening. Vertrekt de persoon, dan vertrekt de betaling. Meestal ontdek je dat op het moment dat de dienst wordt afgesloten.

Er is ook een kant die minder vaak genoemd wordt: dubbele uitgaven. Bij vrijwel elke inventarisatie die wij doen, blijken twee of drie afdelingen ieder een eigen abonnement te hebben op iets wat één keer had gekund, of op iets wat al in de licenties zat die er toch al waren.

Hoe je in kaart brengt wat er draait

Je hoeft hier geen apart product voor te kopen. De informatie zit al in vier plekken die je waarschijnlijk hebt, en samen dekken die het grootste deel.

• Je identiteitsprovider. Meldt iemand zich bij een dienst aan met zijn werkaccount, dan staat dat vast. Het overzicht van bedrijfstoepassingen in je omgeving is daarmee je beste enkele bron, en het is er nu al.
• Uitgaand verkeer. Je firewall of je netwerkbeheer ziet naar welke diensten er verbinding wordt gemaakt. Dat levert ruis op, maar de terugkerende namen vallen op.
• De boekhouding. Zoek in de declaraties en op de creditcardafschriften naar bedragen tussen de vijf en de honderd euro die maandelijks terugkomen. Dit is de saaiste bron en vaak de opbrengstrijkste.
• Vraag het gewoon. Eén rondje langs de teamleiders met de vraag "wat gebruiken jullie dat wij misschien niet weten" levert meer op dan een scan, mits duidelijk is dat het antwoord geen gedoe oplevert. Dat laatste is de voorwaarde, en hij is niet vrijblijvend.

Reken erop dat de lijst langer is dan verwacht. Bij een organisatie van honderd man zijn enkele tientallen diensten normaal, en het merendeel daarvan is onschuldig. Dat is ook precies waarom je de lijst nodig hebt: zonder overzicht kun je niet onderscheiden welke drie ertoe doen.

Wat je met de lijst doet

Er zijn drie uitkomsten per dienst, en de verdeling daartussen is bijna altijd scheef in de richting die mensen niet verwachten.

• Overnemen. De dienst voldoet, hij wordt echt gebruikt en er is niets mis mee behalve dat hij buiten beeld stond. Zet hem op een zakelijk account, regel de verwerkersovereenkomst, koppel de aanmelding aan je eigen identiteiten en zet hem in de administratie. Dit is de uitkomst voor het grootste deel van de lijst.
• Vervangen. Er zit al iets in je bestaande licenties dat hetzelfde doet. Dan is het gesprek niet "dit mag niet" maar "dit zit er al in en wij richten het voor je in". Zonder dat tweede deel gaat het niet werken.
• Uitzetten. Er staan gegevens in die daar niet horen, of de leverancier is niet te beoordelen. Dit is de kleinste categorie, en het is de enige waarbij je iets afneemt zonder er iets voor terug te geven. Doe hem daarom als laatste en met een datum en een alternatief erbij.

Wat je bij alle drie vastlegt is wie eigenaar is aan jullie kant. Niet IT — de afdeling die hem gebruikt. IT beheert de toegang en het contract; de vraag of de dienst nog nodig is hoort bij degene die ermee werkt. Dat is dezelfde rolverdeling als op service governance.

Waarom het terugkomt als je alleen opruimt

Een inventarisatie is een momentopname. Als de oorzaak blijft staan, staat de lijst over een jaar weer vol, en dat is geen falen van de opruiming maar de voorspelbare uitkomst.

Wat het verschil maakt is één ding: de doorlooptijd van een aanvraag. Zolang iemand met een deadline vier weken moet wachten op een antwoord, blijft de creditcard sneller. Wat wij organisaties zien doen die hier grip op houden:

• Een korte route voor kleine dingen. Onder een bedrag en zonder persoonsgegevens: antwoord binnen een week, één pagina, geen aanbesteding. De zware toets bewaar je voor waar hij hoort.
• Een lijst met wat al mag. Wie kan opzoeken dat de dienst die hij wil al is goedgekeurd, vraagt niets aan en gaat aan het werk. Dat is winst voor allebei.
• Nee mag, maar met een alternatief. Een afwijzing zonder vervanging is de directe aanleiding voor de volgende ronde schaduw-IT. Dat is geen dreigement, het is wat er gebeurt.
• Twee keer per jaar opnieuw kijken. Een halfjaarlijkse ronde langs dezelfde vier bronnen kost een dagdeel en houdt de lijst kloppend.

Er is één categorie die het snelst groeit en die om dezelfde reden hier hoort: AI-assistenten op privé-accounts. Dat is schaduw-IT in de zuiverste vorm — geen abonnement, geen factuur, geen spoor — en de aanpak is dezelfde: zorg dat er een goedgekeurde manier is voordat je de ongewenste manier probeert te sluiten. Dat staat verder uitgewerkt in AI op de werkplek.