Shadow IT – hvad går det ud på?

Hele 90 % af virksomhederne i dag har bevidst valgt at anvende en form for cloud-tjeneste. Webhosting, CRM-systemer og ikke mindst backup og Disaster Recovery er blandt de mest populære cloud-tjenester, som virksomheder benytter sig af.

Det viser sig dog, at virksomheder, der ikke vil bruge cloud-tjenester, alligevel til sidst kommer til at udbrede dele af deres forretningsinformation til cloud-tjenester via et fænomen, som kaldes Shadow IT.

Hvordan foregår det?

I dag er vi omgivet af et utal af tekniske hjælpemidler, der alle kan kobles til en cloud-tjeneste. Dette gælder for eksempel e-mail, dokumenter, filer, musik, computere, tablets, software og mobiltelefoner.

Teknologien for cloud-tjenester er blevet så tilgængelig, så enkel og af så høj kvalitet, at det nærmest er svært at undgå at sende data til skyen. Mange af os har sandsynligvis været med til at sende data til en cloud-tjeneste, selvom det ikke har været tilsigtet.

Har du for eksempel opdaget, at billeder fra din telefon dukker op på din arbejdscomputer, uden at du ved, hvordan det skete? Der skal ikke mere til end at oplade mobilen via arbejdscomputeren og klikke en dialogrude væk på mobilskærmen. Eller har du klikket på den cloud-knap, der er kommet i menubåndet til PDF-dokumenter? Hvor tror du så, at dit dokument havner?

De fleste af os har en privat mailkonto hos en af de største leverandører, f.eks. Google. Hvis du åbner et dokument fra dit arbejde og gemmer det, så gemmes det i Google Drive cloud-tjenesten. Hvis du køber en Apple iPhone, skal du oprette en iCloud-konto for at bruge telefonen. Alle dine billeder kopieres automatisk til skyen, hvis der er plads. Hvis du tager et billede af et dokument fra dit arbejde, ligger det både på din telefon og hos Apple.

Hvem laver Shadow IT?

Det viser sig, at der er to grupper af medarbejdere, som ofte lægger data op i uautoriserede skyer på nettet:

• Den ene gruppe er de mest ivrige og motiverede medarbejdere. Denne gruppe arbejder ofte uden for kontoret og uden for normal arbejdstid. Tit mangler de tålmodighed til at vente, når der opstår problemer med forbindelsen til virksomhedens system, og så havner medarbejderens information ofte i et eksternt cloud-system.
• Den anden gruppe er paradoksalt nok medarbejdere i IT-afdelingen eller andre medarbejdere med god IT-viden. Denne gruppe ved nok om teknik til at have skaffet sig alternative konti til cloud-lagring. De er hurtige til at begynde at bruge nye teknologier, og det gør dem reelt set til syndere.

Det har gjort det vigtigere end nogensinde at sørge for, at ens medarbejdere er tilfredse med virksomhedens IT-løsning. Ellers er der stor risiko for, at medarbejderne hurtigt begynder at benytte uautoriserede tjenester, så snart de ikke synes, at virksomhedens løsning er god eller hurtig nok.

Shadow IT er et fænomen, der bliver større og større. I en undersøgelse fra McAfee rapporterede 80 % af respondenterne (IT-medarbejdere og IT-chefer), at de havde benyttet cloud-baserede lagertjenester, som ikke var godkendt af IT-afdelingen.

Risikoen ved Shadow IT

Det siger sig selv, at omfattende brug af shadow cloud er en sikkerhedsrisiko for virksomheden. For det første er det meget svært at afdække omfanget af de data, der er på afveje, og hvilken information der lagres i fremmede skyer. Konsekvenserne af lagring i ukendte cloud-tjenester kan være tab af data, håndtering af fortrolige data i strid med love og regler som f.eks. GDPR og tab af forretningshemmeligheder eller virksomhedens immaterielle rettigheder. Med de strengere regler for håndtering af personoplysninger i EU kan bøder for brud på datasikkerheden komme op på fire procent af virksomhedens bruttoomsætning.

Hvilke foranstaltninger mod Shadow IT bør IT-afdelingen tage?

Det er vigtigt at huske, at virksomhederne selv er i første forsvarslinje, når det kommer til datasikkerhed. Derfor bør de have en klar politik for, hvilke cloud-tjenester, de reelt skal bruge, og sørge for, at leverandøren opfylder alle kravene til datasikkerheden. IT-afdelingen bør også skabe en intern sikkerhedskultur, der gør medarbejderne bevidste om, hvor de lagrer deres data. Her er det værd at huske på, at det skal være tjenester, som medarbejderne vil bruge. Ellers er der risiko for, at politikkerne bliver tomme og uden reel virkning, og at medarbejderne stadig bruger tjenester, som ikke er godkendt.

Netop denne balance har vi arbejdet ekstremt meget med vores tjeneste Modern Workplace, som leverer en samlet løsning, der gør det muligt for medarbejderne at arbejde fleksibelt, uanset hvor de er, på en hvilken som helst enhed, men samtidig gør det på en sikker måde, der overholder virksomhedens sikkerhedspolitikker.

Om valget af cloud-leverandør og sikkerhed

Når din virksomhed skal vælge cloud-leverandør, kræver det en række overvejelser. Vigtige punkter at overveje når det kommer til informationssikkerhed:

• Hvor lagres dine data fysisk? Lagres de lokalt eller i udlandet? Det har konsekvenser for, om det er lokal eller udenlandsk lov, der gælder for offentliggørelse af fortrolige data.
• Nationaliteten på den virksomhed, der håndterer dine data. Hvilke love skal cloud-leverandøren overholde? Amerikanske, europæiske eller lokale regler? Den nye, europæiske databeskyttelseslov, der trådte i kraft i maj 2018, stiller strengere krav til håndtering af personoplysninger for danske virksomheder. En potentiel cloud-leverandør skal kunne demonstrere, at kravene overholdes.
• I hvilket omfang kan leverandøren demonstrere procedurer og en kultur for informationssikkerhed? Hvilke former for processer har de indført for at værne om din virksomheds data? Er de certificeret i informationssikkerhed, for eksempel med en ISO 27001-certificering?

I nogle tilfælde kan det faktisk være bedre og enklere at vælge en cloud-leverandør end at lave sin egen sikkerhedsløsning. Det skyldes, at professionelle cloud-leverandører er nødt til at overholde og efterleve gældende regler for at blive opfattet som seriøse aktører på markedet.

Vil du vide mere om, hvordan Modern Workplace kan beskytte dig mod Shadow IT?

Lige nu tilbyder vi en workshop, hvor vi kommer ud til din virksomhed og fortæller mere om tjenesten. Den indeholder strategiske og tekniske diskussioner, og bagefter får du et konkret forslag til en helhedsløsning, som er skræddersyet til din virksomhed. Den første workshop er gratis og tager cirka 1-2 timer.

Læs mere om Modern Workplace her