Shadow IT er de systemer og tjenester, medarbejderne bruger til arbejdet, uden at virksomheden har godkendt dem. Det er sjældent ondsindet. Det er en medarbejder, der havde en opgave, som de tilgængelige værktøjer ikke løste godt nok, og som fandt noget der virkede.

Problemet er, at virksomhedens data derved ligger på steder, ingen har taget stilling til — og at I ikke kan svare på, hvor jeres persondata befinder sig, hvis nogen spørger.

De typiske eksempler

  • Privat Dropbox eller Google Drive til filer, der er for store til mail.
  • En gratis PDF-konverteringsside, som kontrakter uploades til.
  • Et gratis projektstyringsværktøj, som en afdeling har taget i brug.
  • WhatsApp-grupper til arbejdskoordinering, med kundeoplysninger i.
  • AI-chatbots, hvor medarbejdere indsætter kundetekster for at få dem omskrevet.
  • En personlig Trello eller Notion, hvor sagslister ligger.
  • En privat mailadresse, der bruges til at sende sig selv arbejde hjem.
  • Et regneark i en privat OneDrive, fordi det var hurtigere end at bede om adgang.

Bemærk mønsteret: alle punkter løser et reelt behov. Det er derfor, forbud ikke virker alene.

Hvorfor det er et problem

Databehandling uden aftale. Ligger personoplysninger hos en tjeneste, I ikke har en databehandleraftale med, er det en GDPR-overtrædelse — også når det er gratis og velment.

Ingen backup, ingen kontrol. Ligger sagslisten i en medarbejders personlige konto, forsvinder den, når personen fratræder. Vi har set virksomheder miste et helt projektarkiv den dag, en freelancer holdt op.

Ingen adgangsstyring. Delte links uden udløb, konti uden MFA, kodeord der genbruges fra andre tjenester.

Ingen overblik ved en hændelse. Skal I redegøre for, hvor personoplysninger befinder sig, kan I ikke, hvis halvdelen ligger i tjenester, ingen kender.

Ingen exit. Bliver tjenesten lukket, ændrer priser, eller går udbyderen konkurs, er der ingen plan.

Sådan finder I det

Spørg. Det lyder banalt, men det er den mest effektive metode. Stil spørgsmålet uden løftet pegefinger: hvilke værktøjer bruger du, som vi ikke har givet dig? Gør det klart, at der ikke kommer konsekvenser — I vil vide det for at kunne stille noget bedre til rådighed.

Se på app-tilladelser i Microsoft 365. Under Entra ID kan I se de tredjepartsapps, brugerne har givet adgang til deres konto. Listen overrasker næsten altid, og nogle af dem har omfattende rettigheder som at læse al mail.

Kig i browserudvidelser. Udvidelser med adgang til alle websider kan læse alt, hvad medarbejderen ser. Det er en overset kategori, og der har været flere tilfælde af populære udvidelser, der er blevet solgt og derefter misbrugt.

Se på udgifterne. Små, tilbagevendende beløb på et firmakort er ofte et abonnement, ingen har registreret. Bed bogholderiet trække en liste over alt under 500 kroner, der gentager sig månedligt.

Forbud er den dårligste strategi alene

Blokerer I en tjeneste uden at tilbyde et alternativ, flytter aktiviteten blot til den private telefon, hvor I hverken kan se eller styre den. Det er ikke en forbedring — det er en usynliggørelse.

Den rigtige rækkefølge er: find ud af hvilket behov tjenesten dækker, stil et godkendt alternativ til rådighed, og luk derefter den uofficielle vej.

De fire mest almindelige behov — og de godkendte svar

  • Sende store filer: Delt link fra OneDrive eller SharePoint med udløbsdato. Virker fint til flere gigabyte, og modtageren behøver ikke en konto.
  • Samarbejde med eksterne: Gæsteadgang i Teams, med en fast proces for at fjerne dem igen.
  • Opgavestyring: Planner eller Lists, som allerede er med i licensen og aldrig bliver brugt.
  • Hurtig chat med kunder: Tag stilling til det. Bruges der beskedtjenester, skal det være en godkendt løsning, hvor korrespondancen kan bevares — ikke en privat konto på en medarbejders telefon.

Det sidste punkt er svært, fordi kunderne ofte er dem, der insisterer. Men en aftale indgået i en privat beskedtjeneste, som forsvinder med medarbejderen, er et reelt forretningsmæssigt problem.

Særligt om AI-værktøjer

Det er den hurtigst voksende form for shadow IT lige nu. En medarbejder indsætter et kundebrev, en kontrakt eller et journalnotat i en gratis chatbot for at få hjælp til formuleringen.

Data forlader derved organisationen, og i nogle gratis tjenester kan de blive brugt til træning. Det er en videregivelse uden retligt grundlag, hvis der er personoplysninger i teksten.

Løsningen er ikke et forbud, som ingen overholder. Den er en klar retningslinje — hvilke værktøjer må bruges, og hvilke data må aldrig indsættes — kombineret med adgang til en erhvervsversion, hvor data ikke bruges til træning og hvor der findes en databehandleraftale.

Skriv tre linjer, ikke tre sider

En brugbar retningslinje kan være så kort som: nye værktøjer skal godkendes af IT, inden der lægges firmadata i dem. Personoplysninger og kundedata lægges kun i systemer på vores godkendte liste. Er du i tvivl, så spørg — det tager to minutter.

Lav samtidig den godkendte liste, og gør den let at finde. Uden en liste er godkendt af IT et krav uden indhold.

Gør det nemt at få noget godkendt

Den vigtigste forebyggelse er, at vejen til at få et værktøj godkendt er kort. Tager det seks uger og tre møder, går folk uden om.

Vores anbefaling: en simpel proces, hvor et forslag kan vurderes på en uge, med tre spørgsmål — hvilke data skal ind i det, findes der en databehandleraftale, og hvad er alternativet i det, vi har i forvejen. De tre spørgsmål afgør de fleste sager.

Gennemgå listen fire gange om året

App-tilladelser, browserudvidelser, gæstebrugere og abonnementer på firmakortet. Det tager en time, og der sniger sig altid noget ind mellem gangene.

Overvej desuden at kræve administratorgodkendelse, før en bruger kan give en ny tredjepartsapp adgang til sin konto. Så bliver listen ikke længere af sig selv.

Netdk hjælper med overblikket

Vi gennemgår app-tilladelser, browserudvidelser og dataflow som en del af vores sikkerhedsgennemgang, og hjælper med at finde godkendte alternativer, der faktisk bliver brugt. Vi arbejder med virksomheder i hele Midtjylland.

Næste skridt

Vil I vide, hvilke tredjepartsapps der har adgang til jeres Microsoft 365 lige nu? Ring på 70 23 57 70 — det tager os få minutter at trække listen.