BLOGS
Schaduw-IT: een risico dat je niet moet onderschatten
Schaduw-IT vormt een serieuze bedreiging voor organisaties – niet alleen op het gebied van beveiliging, maar ook in het kader van de AVG.
In veel bedrijven zien we dat medewerkers gebruikmaken van tools die buiten het officiële IT-beleid vallen. Denk aan applicaties als WhatsApp, Dropbox of WeTransfer. Een app is zo geïnstalleerd en een account bij bijvoorbeeld Gmail of Dropbox is binnen een paar klikken aangemaakt. Hoewel het misschien onschuldig lijkt, kan deze vorm van schaduw-IT flinke risico’s met zich meebrengen – zowel qua security als privacy.
Onbewust ontstaan
Vaak ontstaat schaduw-IT uit onwetendheid. Medewerkers zijn zich er niet van bewust welke tools beschikbaar zijn binnen de organisatie of weten niet goed hoe ze iets formeel moeten aanvragen. Daardoor regelen ze het zelf. Bijvoorbeeld door een WhatsApp-groep te starten als alternatief voor Teams, of bestanden op Dropbox te zetten omdat ze niet weten hoe dit binnen SharePoint geregeld is. Het lijkt onschuldig, maar als organisatie verlies je daarmee het zicht op welke gegevens worden gedeeld en waar die terechtkomen.
Zorg voor grip en compliance
Als IT-afdeling is het belangrijk om medewerkers op de juiste manier te ondersteunen. Laat duidelijk zien welke tools en applicaties er beschikbaar zijn en hoe die gebruikt kunnen worden. Alleen dan kun je ervoor zorgen dat de IT-omgeving voldoet aan de interne richtlijnen, goed te beheren blijft én veilig is. Zo houd je controle over zowel de beveiliging als de kosten.
Voorkom schaduw-IT met slimme maatregelen
Educatie
Zorg dat medewerkers op de hoogte zijn van het IT-aanbod binnen de organisatie en hoe ze daar veilig gebruik van kunnen maken. Bied trainingen aan in verschillende vormen, zoals één-op-één-coaching, webinars, interactieve online tools of zelfs gamification.
Bewustwording
Maak het IT-beleid helder en levendig. Hoewel dit vaak in arbeidscontracten staat, is het goed om dit regelmatig opnieuw onder de aandacht te brengen. Leg uit wat de risico’s zijn van bijvoorbeeld phishingmails of onbekende USB-sticks en zorg dat medewerkers begrijpen waarom het belangrijk is om zich aan de regels te houden.
Technische ondersteuning
Voer technische maatregelen in die laagdrempelig en gebruiksvriendelijk zijn. Denk aan een beveiligde internetverbinding, versleuteld dataverkeer en multifactor-authenticatie. Ook kun je systemen instellen die waarschuwen bij het versturen van gevoelige informatie, zoals creditcardgegevens of een BSN. In sommige gevallen kun je zelfs het verzenden automatisch blokkeren.
Laat IT aansluiten op de praktijk
Welke maatregelen je ook neemt: uiteindelijk blijft de gebruiker een zwakke schakel. Zorg daarom dat de beschikbare IT-oplossingen aansluiten bij de wensen en werkprocessen van je medewerkers. Anders gaan ze zelf iets bedenken – en dat wil je juist voorkomen. Niet alleen om veiligheidsredenen, maar ook om kosten te beheersen. Denk aan de aanschaf van losse tools, het oplossen van beveiligingsincidenten of zelfs mogelijke boetes bij een AVG-overtreding.
