Wat is schaduw-IT? Risico's beperken en best practices

Schaduw-IT is technologie die binnen de organisatie wordt gebruikt zonder dat het centrale IT-team toestemming heeft gegeven voor het gebruik en de implementatie ervan. In deze gids leest u hoe schaduw-IT-aanvallen werken.

Medewerkers zijn mogelijk niet tevreden met uw huidige technologieën of workflows. Sommigen van hen hebben hun zorgen over dreigende problemen op de werkplek misschien nog niet geuit. De risico's van schaduw-IT mogen niet worden onderschat en beginnen vaak met deze emoties. Een ontevreden werknemer die te bang is voor de bedrijfscultuur, kan zijn toevlucht nemen tot het gebruik van een schaduw-IT-tool om zijn werk gedaan te krijgen.

De reden? Omdat hij zijn baas niet van streek wil maken en anderen niet wil laten weten dat hun huidige processen inefficiënt zijn. Maar zonder dat hij het weet, kan dat kleine initiatief nieuwe risico's met zich meebrengen. De software die ze gebruiken kan kwaadaardige code bevatten of de schaduw-IT-software kan zich nog in de prototype- of bètafase bevinden. In deze gids wordt uitgelegd wat schaduw-IT is in cyberbeveiliging. Hieronder leest u hoe schaduw-IT-beveiliging werkt, alles over schaduw-IT-tools en meer.

Wat is schaduw-IT?

Soms zijn traditionele beveiligingstools en IT-systemen nietom bepaalde taken uit te voeren. In dat geval besluiten sommige werknemers om gespecialiseerde software en tools te gebruiken die niet zijn goedgekeurd door de centrale IT-autoriteiten en -systemen. Shadow IT wordt een groot probleem voor ondernemingen, niet alleen omdat het beperkingen omzeilt, maar ook omdat het verschillende beveiligingsrisico's met zich meebrengt. Volgens een onderzoek van Gartner zullen werknemers in de toekomst technologie blijven aanpassen of creëren die buiten het zicht van IT valt.

De meeste beveiligingsrisico's van schaduw-IT liggen voor het grijpen. Ze blijven echter vaak onopgemerkt en kunnen erg traag worden gedetecteerd. Onbekende SaaS-tools, verouderde systemen die eigenlijk buiten gebruik zouden moeten worden gesteld maar nog steeds worden gebruikt, overbodige databases en ongeoorloofd delen van bestanden of samenwerken via niet-goedgekeurde platforms zijn enkele voorbeelden van schaduw-IT-activiteiten in on-premise, hybride en multi-cloudomgevingen.

Oorzaken van schaduw-IT

Schaduw-IT kan worden gekoppeld aan het voldoen aan specifieke werkbehoeften van werknemers en deze tools worden gebruikt vanwege hun gemak. Hier zijn enkele van de belangrijkste oorzaken:

• Meer vertrouwdheid – Werknemers voelen zich mogelijk meer op hun gemak of zijn productiever op de werkplek dankzij het gebruik van schaduw-IT-tools. Ze hebben misschien het gevoel dat deze technologieën hen helpen hun taken sneller en soepeler af te ronden.
• Gebrek aan bewustzijn van beveiligingsrisico's – Sommige werknemers zijn oprecht goedgelovig en denken dat deze ongeautoriseerde tools veilig zijn. Ze zijn zich er misschien niet van bewust dat schaduw-IT-tools malware kunnen bevatten.
• Trage goedkeuringsprocessen – Werknemers kunnen genoeg krijgen van de lange wachttijden voor software of goedgekeurde tools om goedkeuring te krijgen voor nieuwe technologieën. Ze nemen dan hun toevlucht tot schaduw-IT-werkmethoden zonder medeweten van andere leden van de organisatie.
• Budgetbeperkingen – Sommige schaduw-IT-tools worden beschouwd als goedkopere alternatieven zonder gebruiksbeperkingen of restricties dan goedgekeurde software binnen de organisatie. Dit motiveert werknemers om ze te gebruiken.

Impact van schaduw-IT

Schaduw-IT brengt reële risico's en gevaren met zich mee die ongemerkt op de achtergrond spelen, zonder dat er zichtbare aanwijzingen voor zijn.

Hier volgen enkele gevolgen van schaduw-IT-bedreigingen:

• Shadow IT kan MFA en op rollen gebaseerde toegangscontroles omzeilen. De systemen kunnen leiden tot verhoogde productierisico's, zoals gegevensdiefstal, verlies, schade aan apps en malware.
• Gebruikers met ongeautoriseerde toegang kunnen kritieke wijzigingen aanbrengen in gevoelige gegevens en klantendatabases. Ze kunnen zelfs medische dossiers wijzigen, informatie manipuleren en de dagelijkse bedrijfsvoering van het bedrijf beïnvloeden.
• Shadow IT-activiteiten kunnen onbedoeld of opzettelijk kwaadaardige code in elk onderdeel van het productieproces injecteren. Ze kunnen organisaties kwetsbaarder maken voor zero-day- en ransomware-aanvallen. Ze kunnen ook firewalls doorbreken en inbraakdetectie- en antivirussystemen omzeilen.

Hoe detecteert u schaduw-IT?

U kunt schaduw-IT detecteren door middel van regelmatige netwerkmonitoring en -verificatie. Hier zijn enkele manieren:

• U kunt regelmatig netwerkaudits uitvoeren om ongeautoriseerde applicaties en services op uw netwerk te identificeren
• U moet netwerkverkeer monitoren om ongebruikelijke gegevensoverdrachten of verdachte verbindingen op te sporen
• Als u onkostendeclaraties en inkoopgegevens hebt, kunt u deze analyseren om ongeoorloofde softwarenaankopen op te sporen
• U moet verbinding maken met uw SSO- en ID-providers, zoals Google Workspace of Azure Active Directory, om app-gebruikers te traceren
• Er zijn detectieagenten en browserextensies die u kunt inzetten om geïnstalleerde apps op eindpunten te vinden.
• U moet werknemers trainen om nieuwe applicaties te melden die ze gebruiken en die niet zijn goedgekeurd.
• Als u geen regelmatige beveiligingsbeoordelingen uitvoert, zal schaduw-IT onopgemerkt blijven groeien
• U kunt cloudgebruikspatronen monitoren om ongeautoriseerde clouddiensten te identificeren
• Maak een uitgebreide inventaris van alle goedgekeurde applicaties voordat u een oplossing implementeert.
• Ze zullen een combinatie van deze methoden moeten gebruiken om volledig inzicht te krijgen.

Hoe kunt u schaduw-IT voorkomen en beheersen?

Hier leest u hoe u de risico's van schaduw-IT kunt voorkomen en beheersen:

• Gebruik tools voor het opsporen van schaduw-IT – Deze tools kunnen uw bedrijf helpen bij het opsporen en identificeren van schaduw-IT-technologieën. Ze bieden een uitgebreid overzicht van alle risico's van schaduw-IT en bieden realtime monitoringmogelijkheden. Uw IT-afdeling krijgt zo het broodnodige inzicht en kan snel reageren op schaduw-IT-problemen.
• Probeer Cloud Security Access Brokers (CASB's) – Cloud Security Access Brokers (CASB's) kunnen de netwerken en cloudbeveiliging van uw bedrijf bewaken. Ze kunnen worden gebruikt om de beste versleutelingsprotocollen, toegangscontroles en maatregelen ter voorkoming van gegevensverlies (DLP) te implementeren. U kunt er ook datalekken mee voorkomen en ervoor zorgen dat gevoelige gegevens beschermd blijven, en bovendien de beste SaaS-beveiligingspraktijken toepassen door ze te gebruiken.
• Neem trainingen over bewustwording van schaduw-IT en risicobeheer op in uw programma – Het spreekt voor zich dat alle werknemers training nodig hebben, ongeacht of ze al dan niet bekend zijn met schaduw-IT-praktijken. Als iedereen op dezelfde lijn zit en op de hoogte is van de nieuwste schaduw-IT-innovaties, is de kans kleiner dat ze worden misleid of voor verrassingen komen te staan. Het is belangrijk om regelmatig trainingen te organiseren en de kennis van uw medewerkers van tijd tot tijd te toetsen. Ze moeten ook weten welke alternatieven voor schaduw-IT ze kunnen gebruiken als ze de voorkeur geven aan andere oplossingen.

Voordelen van schaduw-IT

Schaduw-IT-tools hebben wel degelijk voordelen voor gebruikers:

• Medewerkers kunnen hun taken effectiever uitvoeren wanneer ze direct toegang hebben tot de benodigde software.
• Shadow IT-toepassingen kunnen het delen van bestanden veel gemakkelijker maken en berichtenverkeer handiger. Ze kunnen snellere samenwerking tussen werknemers mogelijk maken en afdelingen kunnen veel efficiënter met elkaar communiceren.
• Shadow IT-technologieën zijn zeer flexibel en eenvoudig te implementeren. U kunt ze snel inzetten en ze bieden naadloze integraties. Als uw organisatie te maken heeft met inefficiënties of knelpunten, kunnen ze deze ook aanpakken.
• Shadow IT-tools zijn ook zeer aanpasbaar, wat betekent dat u naar eigen inzicht functies kunt toevoegen of verwijderen. Ze zijn niet beperkt zoals kant-en-klare software of hebben geen ingebouwde regels zoals clouddiensten. Sommige schaduw-IT-technologieën zijn volledig open source en gratis, wat betekent dat u ook geld bespaart.

Risico's en uitdagingen van schaduw-IT

Hier zijn enkele risico's en uitdagingen van schaduw-IT:

Gebrek aan zichtbaarheid

IT-afdelingen weten niet wat er op de achtergrond gebeurt wanneer werknemers ongeautoriseerde tools en cloudgebaseerde apps gebruiken. Ze verliezen de controle en het wordt moeilijk om de beveiliging te beheren. Het bedrijf verliest de toegang tot de nieuwste beveiligingsupdates en kan geen strikte beveiligingsmaatregelen effectief afdwingen.

Slechte gegevensbeveiliging

Shadow IT-tools kunnen leiden tot het lekken van gevoelige gegevens of onveilig delen van bestanden. Aangezien deze tools zijn gemaakt door niet-goedgekeurde leveranciers, is het onduidelijk wat er kan gebeuren met de gegevens die door hen worden opgeslagen en verzonden. Dit kan ernstige schade toebrengen aan de reputatie en financiën van een organisatie.

Creëert hiaten in de naleving

Shadow IT kan nieuwe hiaten in de naleving creëren en bestaande regelgeving op het gebied van gegevensbescherming, zoals de CIS Benchmark, NIST, HIPAA of AVG, schenden. Niet-goedgekeurde tools voldoen niet altijd aan de industrienormen en kunnen een bedrijf vatbaarder maken voor boetes, rechtszaken en andere sancties.

Inefficiëntie en gefragmenteerde workflows

Shadow IT-apps kunnen niet soepel worden geïntegreerd in IT-systemen. Ze kunnen leiden tot gefragmenteerde workflows, inconsistenties in gegevens en operationele storingen. Uiteindelijk kunnen al deze factoren de productiviteit van werknemers beïnvloeden en op de lange termijn gevolgen hebben voor de organisatie als geheel.

Best practices voor het beheer van schaduw-IT

Hier volgen enkele best practices die u kunt implementeren om schaduw-IT in uw organisatie te beheren:

• Controleer en audit alle gebruikersaccounts binnen de organisatie, controleer ook het gebruik van SaaS-apps en kijk of deze in overeenstemming zijn met de gebruiks- en risicotolerantievereisten van uw organisatie.
• U moet ook de toegangscontroles controleren en voldoen aan de wettelijke en regelgevende verplichtingen. Onderzoek alle transacties die verband houden met niet-goedgekeurde apps, maak een vergelijkende analyse van transactiegegevens en noteer de download- en uploadvolumes ervan.
• Controleer uw beveiligingsparameters en kijk of uw organisatie de nieuwste versleutelingsstandaarden gebruikt. Als er tekenen zijn van niet-gepatchte systemen of een gebrek aan updates, moet u daar onmiddellijk iets aan doen. Het is ook aan te raden om dynamische beleidsregels op te stellen en deze gedetailleerd te maken, zodat u de overdracht van gegevens tussen de app en de gebruiker effectief kunt controleren.
• Pas het principe van minimale toegangsrechten toe en bouw een zero-trust netwerkbeveiligingsarchitectuur. Evalueer uw beleidsregels regelmatig en verzamel feedback van eindgebruikers om te zien hoe ze werken.
• Zorg ook voor uitzonderingsmechanismen die van pas kunnen komen wanneer uw organisatie niet wil kiezen voor het afdwingen van specifiek beleid of specifieke controles. Dit biedt flexibiliteit en maakt het gebruik van schaduw-IT-technologieën en -tools niet noodzakelijk.

Voorbeelden van schaduw-IT

Hier volgen enkele voorbeelden van schaduw-IT in de praktijk:

• Apps van derden zoals Discord, Telegram, Signal en Slack kunnen worden gebruikt om communicatie te versleutelen en ongeoorloofd bestanden te delen. Organisaties kunnen de informatiestromen via deze diensten niet volgen of controleren.
• Het downloaden van gespecialiseerde software zonder voorafgaande toestemming van de organisatie kan schaduw-IT-risico's met zich meebrengen binnen het netwerk van het bedrijf. Medewerkers kunnen ook schaduw-IT-ontwerptools, CRM, accounts en andere SaaS-apps gebruiken die compliance-uitdagingen en een gebrek aan controle kunnen veroorzaken.
• Medewerkers kunnen gebruikmaken van schaduw-IT-beleidsmaatregelen en daarmee het bestaande beveiligingsbeleid van een organisatie aanpassen, zonder medeweten van bestuursleden en belanghebbenden. Als het gaat om BYOD (Bring Your Own Device) beleid, kunnen ze ervoor kiezen om dit te negeren en te werken met hun persoonlijke laptops, telefoons en tablets, die allemaal niet worden beheerd door de IT-afdeling en verschillende schaduw-IT-cyberbeveiligingsrisico's met zich meebrengen.

Conclusie

Zo voorkomt u schaduw-IT en stopt u het gebruik van deze tools en technologieën in uw organisatie. We zeggen niet dat alle schaduw-IT slecht is, maar in de meeste gevallen kan het schadelijk zijn. Het hangt allemaal af van de behoeften van uw organisatie, de mentale toestand van uw werknemers en hoe iedereen presteert.

Transparante communicatie is de sleutel tot blijvend succes. Daarom moet u open feedback aanmoedigen. U kunt ook anonieme meldingskanalen creëren voor medewerkers die hun zorgen willen uiten, maar te bang zijn om dat te doen. Zo krijgen ze een uitlaatklep om te zeggen wat ze denken, zonder hun toevlucht te hoeven nemen tot schaduw-IT.

FAQs

Wat is schaduw-IT in cyberbeveiliging?

Shadow IT is alle software, hardware of digitale diensten die worden gebruikt zonder medeweten of goedkeuring van uw IT-afdeling. Dit gebeurt wanneer werknemers cloudaccounts aanmaken, apps downloaden of persoonlijke apparaten gebruiken voor werktaken. Ze omzeilen officiële kanalen om hun werk sneller gedaan te krijgen. Wanneer dit gebeurt, verliest uw organisatie zichtbaarheid en controle over waar bedrijfsgegevens naartoe gaan en hoe deze worden geraadpleegd. U kunt niet beschermen wat u niet weet dat bestaat.

Wat is een schaduw-IT-beleid?

Een schaduw-IT-beleid stelt duidelijke regels vast voor het gebruik van ongeautoriseerde technologie in uw organisatie. Het beschrijft welke tools werknemers mogen gebruiken, hoe ze nieuwe software kunnen aanvragen en wat er gebeurt als ze zich niet aan de regels houden. U kunt een gelaagde aanpak hanteren op basis van risiconiveaus: tools met een laag risico worden versneld goedgekeurd, tools met een gemiddeld risico moeten worden aangepast en tools met een hoog risico worden onmiddellijk verboden. Als u een goed beleid opstelt, moet u een respijtperiode inbouwen waarin werknemers bestaande schaduw-IT zonder straf kunnen melden.

Waarom is schaduw-IT een probleem?

Schaduw-IT zorgt voor grote beveiligingslekken in uw netwerk. Wanneer werknemers niet-goedgekeurde tools gebruiken, stellen ze gevoelige gegevens bloot aan mogelijke inbreuken. U kunt geen patches toepassen of monitoren wat u niet weet dat bestaat. Als u te maken heeft met schaduw-IT, krijgt u te maken met hogere kosten als gevolg van datalekken – gemiddeld ongeveer 4,24 miljoen dollar. Ook leidt dit tot overtredingen van regelgeving zoals de AVG, HIPAA en PCI-DSS, wat kan resulteren in zware straffen en boetes.

Waarom komt schaduw-IT voor in organisaties?

Werknemers wenden zich tot schaduw-IT wanneer officiële tools niet aan hun behoeften voldoen. Ze gaan op zoek naar snellere, eenvoudigere opties wanneer goedgekeurde software omslachtig of verouderd aanvoelt. Als u strenge IT-goedkeuringsprocessen hanteert, omzeilen werknemers deze om vertragingen te voorkomen. Wanneer uw personeel zijn werk niet efficiënt kan doen met goedgekeurde tools, zoeken ze naar alternatieven. U zult dit gedrag vaker zien wanneer thuiswerken snelle oplossingen vereist of wanneer werknemers specifieke functies nodig hebben die ontbreken in de door het bedrijf goedgekeurde opties.

Wat zijn voorbeelden van schaduw-IT?

Schaduw-IT komt in vele vormen voor in uw organisatie. Werknemers gebruiken persoonlijke Google Drive- of Dropbox-accounts om werkbestanden te delen. Ze zetten ongeautoriseerde cloudworkloads op met persoonlijke inloggegevens. Als u hun apparaten controleert, kunt u goedgekeurde berichtenapps zoals WhatsApp of ongeautoriseerde Zoom-accounts aantreffen. Ze kopen SaaS-abonnementen die onder de IT-aankoopdrempels vallen. U kunt ook werknemers aantreffen die zonder goedkeuring van IT productiviteitstools zoals Trello of Asana gebruiken.

Hoe kan schaduw-IT worden gedetecteerd?

U kunt schaduw-IT opsporen met behulp van tools voor het opsporen van bedrijfsmiddelen die uw netwerk regelmatig scannen. Deze tools helpen u bij het opsporen van ongeautoriseerde applicaties en clouddiensten. Als u het netwerkverkeer controleert, zult u ongebruikelijke patronen opmerken die wijzen op het gebruik van schaduw-IT. U moet geautomatiseerde clouddetectietools implementeren die detecteren wanneer werknemers toegang hebben tot niet-goedgekeurde diensten. Regelmatige inventariscontroles helpen bij het identificeren van persoonlijke apparaten die toegang hebben tot bedrijfsgegevens. U moet risicovolle SaaS-apps continu monitoren om toegangspatronen bij te houden.

Hoe kunnen organisaties schaduw-IT voorkomen?

U moet duidelijke, eenvoudige goedkeuringsprocessen voor nieuwe technologie opstellen. Als u een fast-track-systeem voor tools met een laag risico implementeert, zullen werknemers IT niet omzeilen. Bespreek met uw medewerkers waarom ze ongeautoriseerde tools gebruiken en dicht die hiaten. Implementeer veilige alternatieven die aan hun behoeften voldoen. Als ze een niet-goedgekeurde berichtenapp gebruiken, geef ze dan Microsoft Teams of Slack. Zorg ervoor dat u medewerkers voorlicht over veiligheidsrisico's zonder hen te straffen voor het melden van schaduw-IT.

Wie is verantwoordelijk voor het beheer van schaduw-IT?

Uw IT-afdeling leidt het beheer van schaduw-IT, maar kan dit niet alleen. Ze hebben ondersteuning nodig van afdelingshoofden die het beleid moeten handhaven. Als u zich bezighoudt met beveiliging, houdt u toezicht op netwerken en implementeert u detectietools. Het management moet middelen toewijzen en het opstellen van beleid ondersteunen. Medewerkers moeten hun verantwoordelijkheid nemen door ongeoorloofd gebruik van tools te melden. Als iedereen samenwerkt, creëert u een cultuur waarin schaduw-IT zichtbaar wordt in plaats van verborgen.

Hoe beïnvloedt schaduw-IT de naleving van gegevens?

Schaduw-IT brengt uw compliance ernstig in gevaar. Wanneer gegevens via ongeautoriseerde kanalen worden verplaatst, voldoet u niet aan de vereisten van regelgeving zoals GDPR, HIPAA en SOX. Als u klantgegevens in schaduwsystemen hebt, kunt u geen goede toegangscontroles of versleuteling toepassen. Uw datagovernancekader valt uiteen wanneer schaduwgegevens buiten het centrale beheer bestaan. U moet zich vooral zorgen maken over vergeten gegevenskopieën in ontwikkelomgevingen of buiten gebruik gestelde applicaties die gevoelige informatie bevatten.