)
Het ontstaat meestal niet uit onwil, maar uit snelheid: mensen willen hun werk gedaan krijgen en zoeken de kortste route die ze daarin het beste helpt. Denk aan het zelf aanschaffen van SaaS-tools, het gebruiken van privé-cloudopslag om makkelijk bestanden te delen, het installeren van browserextensies of ‘handige’ apps buiten de standaard catalogus van de organisatie, maar ook aan het inzetten van generatieve AI-tools voor het verwerken van tekst, code of klantinformatie. Het is een signaal dat de officiële werkomgeving niet (meer) aansluit op wat medewerkers nodig hebben. Maar als tooling buiten het zicht van IT’ers groeit, wordt het lastiger om risico’s tijdig te zien en te beheersen. Shadow IT wordt daarom een steeds belangrijker aandachtspunt.
In deze blog nemen we je mee langs de belangrijkste bouwstenen om grip te krijgen: van Mobile Device Management (MDM) voor beheer en datatoegang op devices, tot Shadow AI en de nieuwe realiteit van ‘zelfgekozen’ tooling. Ook zoomen we in op een aanpak waarbij je Shadow IT gecontroleerd kunt aanpassen. Bijvoorbeeld door applicaties via een application workspace beschikbaar te maken, terwijl je tegelijkertijd lokale administratorrechten kunt wegnemen. Welkom in de wereld van controle op Shadow IT.
Shadow IT is alle technologie die medewerkers of teams gebruiken voor hun werk, zonder dat IT (of security) die tooling heeft goedgekeurd, beheert of voldoende kan monitoren.
In de praktijk leidt dat onder andere tot:
gevoelige informatie belandt in niet-goedgekeurde apps, persoonlijke accounts of AI-tools zonder duidelijke afspraken over opslag en hergebruik.
IT mist overzicht op wie toegang heeft tot welke data, vanaf welk device en met welke beveiligingsinstellingen.
eisen rond privacy, logging, retentie en toegangsbeheer zijn lastiger aan te tonen als processen “buitenom” lopen.
dubbele licenties en schaduwabonnementen zorgen voor overlap en complexiteit; valt een schaduwtool uit of wijzigen voorwaarden, dan kan een kritisch proces stilvallen zonder eigenaar of contract.
"Shadow IT laat zien waar innovatie en behoefte in de organisatie én medewerker zit. Leid je het in goede banen, dan is het mogelijk te blijven innoveren en tegelijk de risico’s te verlagen."
Een medewerker die ‘even snel’ een app installeert om productiever te zijn. Een team dat een AI-tool gebruikt omdat het nu eenmaal sneller werkt. Of een smartphone die zonder beleid toegang heeft tot bedrijfsdata. Het lijkt onschuldig, maar samen vormen ze de stille groei van Shadow IT: technologie buiten het zicht van IT en security, met alle risico’s én kansen van dien.
Mobile Device Management (MDM), het is als asset management randvoorwaardelijk om aan te kunnen tonen dat organisaties er alles aan gedaan hebben om data veilig te kunnen houden. Het is een sleutelmiddel om veilig en beheersbaar te blijven werken in een omgeving met verschillende devices, besturingssystemen en applicaties. Mark Salomons, onze specialist op het gebied van Connectivity & Communications, werkt dagelijks in dit speelveld en vertelt je er graag meer over.
Het doel van MDM is niet ‘controle om de controle’, maar juist om ongeacht het apparaat dat een medewerker gebruikt een uniform basisniveau van beveiliging, stabiliteit en ondersteuning te borgen. Daarmee verklein je de kans op datalekken door verloren apparaten, verouderde software of onveilige configuraties en kun je als organisatie voldoen aan interne en externe eisen.
Het afdwingen van minimale beveiligingsinstellingen (vergrendeling, versleuteling, veilige configuraties) en het beperken van risicovolle functies of configuraties die de kans op misbruik vergroten.
Overzicht van devicestatus (OS-versie, compliance, device‑gezondheid) zodat risico’s vroeg worden gezien en gericht kunnen worden opgelost.
Bij incidenten of uitdiensttreding kan een organisatie snel maatregelen nemen om bedrijfsgegevens te beschermen, zoals het blokkeren van toegang, het intrekken van accountsessies of het verwijderen van zakelijke data.
“Grip houden lukt het best wanneer MDM een onderdeel is van een breder geheel: Identity & Access Management (zoals MFA en Conditional Access), data‑classificatie, logging/monitoring, incidentrespons en gebruikersvoorlichting. MDM is dan geen los instrument, maar een onderdeel van het totale beveiligings- en beheerconcept waarmee je risico’s beheersbaar houdt zonder dat het dagelijkse werk onnodig wordt belemmerd.”
Maar rondom privacy MDM roept regelmatig vragen en misverstanden op. Dat komt vooral doordat beheer en inzicht vaak worden geïnterpreteerd als ‘meekijken’ of ‘controleren’. In de praktijk is dat zelden het doel. Het richt zich primair op het beheren van een device als toegangspunt tot bedrijfsdata, niet op het volgen van persoonlijke activiteiten. Daarnaast gelden er in professionele omgevingen duidelijke technische en organisatorische grenzen aan wat een organisatie kan en mag inzien.
)
)
)
Een veelvoorkomende gedachte is dat IT alles kan zien wat een medewerker doet op het device. In werkelijkheid richt MDM zich vooral op beveiligingsstatus en configuratie, zoals of een apparaat up‑to‑date en compliant is. Privé‑inhoud zoals berichten, foto’s, documenten of browsegeschiedenis is in reguliere MDM‑scenario’s niet inzichtelijk. Ook het idee dat privé‑apps en privédata onder toezicht staan is vaak onjuist: hoewel MDM invloed kan hebben op instellingen en gebruik, betekent dat niet dat persoonlijke inhoud wordt ingezien. Monitoring wordt bovendien regelmatig verward met afluisteren, terwijl logging in volwassen omgevingen vooral draait om security‑events, beleidsstatus en incidentafhandeling, niet om persoonlijke communicatie.
Wat medewerkers wél merken, is dat organisaties beleid kunnen afdwingen dat het gebruik beïnvloedt, bijvoorbeeld via beveiligingsinstellingen, toegangsvoorwaarden of het verplicht stellen van goedgekeurde applicaties. Dat is geen vorm van inzien, maar van sturen. Daarnaast is het gebruikelijk dat beperkte device‑informatie zichtbaar is die nodig is voor beheer en beveiliging, zoals apparaattype, OS‑versie en compliance‑status. Bij incidenten of uitdiensttreding kunnen maatregelen worden genomen om zakelijke toegang of zakelijke data te blokkeren of te verwijderen, met als doel de bescherming van bedrijfsinformatie.
De kern is daarom dat privacy er niet alleen gaat over wat een organisatie kan zien, maar ook over wat zij beïnvloedt. Ben je er onduidelijk over, dan vergroot je de kans op wantrouwen en daarmee juist ook op shadow IT, waarbij medewerkers uitwijken naar ongecontroleerde apps of privé‑oplossingen. Door transparant te zijn over het doel en verhouding van MDM‑maatregelen, wordt die kans kleiner en kunnen je medewerkers veilig en bewust binnen de afgesproken kaders werken.
Shadow AI, een onderwerp dat onze SharePoint Consultant én AI-fanaat Bert bij meer en meer klanten (maar ook intern) steeds vaker ziet ontstaan. Vooral omdat mensen heel pragmatisch met AI omgaan om hun werk sneller en overzichtelijker te maken. Dat gebeurt zelden met kwade bedoelingen, maar vooral vanuit een oprechte behoefte om efficiënter te werken in omgevingen waar veel gelezen, geschreven en samengevat wordt onder tijdsdruk. Een belangrijk aspect hierin is dat veel medewerkers privé al gewend zijn aan één of meerdere AI‑tools. Ze kennen de interface, weten hoe ze moeten prompten en hebben er vertrouwen in. Tegelijk ervaren zij ook hoeveel sneller en effectiever hun werk wordt: teksten komen sneller tot stand, worden duidelijker verwoord en zijn vaak net wat krachtiger dan wanneer ze die zelf zouden schrijven. Die ervaring nemen mensen mee naar hun werk.
)
)
)
Wanneer een werkgever dan geen zakelijke AI‑voorziening aanbiedt die vergelijkbare ondersteuning biedt, wordt de verleiding groot om eigen middelen in te zetten. Niet omdat ze bewust regels willen omzeilen, maar omdat ze aantoonbaar efficiënter werken en de kwaliteit van de output stijgt. Zeker in teams waar collega’s dit ook doen, wil je niet achterblijven en ontstaat er vanzelf druk om hetzelfde productiviteitsniveau vast te houden.
Eenzelfde behoefte aan snelheid en overzicht zie je terug in allerlei workarounds, zoals het kopiëren of uploaden van interne informatie naar openbare AI‑oplossingen. In de praktijk blijkt dat een deel van de medewerkers zich simpelweg niet realiseert dat deze tools ingevoerde data kunnen opslaan of hergebruiken, met het risico dat bedrijfsinformatie buiten de organisatie belandt. Een ander deel is zich daar wel enigszins van bewust, maar schuift dat risico door werkdruk naar de achtergrond omdat gemak en tijdswinst op dat moment zwaarder wegen. Ook inhoudelijk blijven er aandachtspunten. AI kan overtuigend klinken terwijl informatie niet klopt, verouderd is of geen duidelijke bron heeft. Dat vang je niet alleen op met techniek, maar vooral door AI duidelijk te positioneren als assistent en niet als waarheid, en door mensen te helpen kritisch te blijven op de output die ze gebruiken.
)
)
)
Als het gaat om governance ziet Bert dat strikt verbieden in de praktijk niet werkt. Mensen hebben inmiddels ervaren hoeveel sneller en makkelijker zij hun werk kunnen doen met AI, en dat niveau van werkgemak lever je niet zomaar weer in. Waarom zou je meer tijd en energie steken in hetzelfde werk, met vaak ook een minder goed resultaat? Als een organisatie AI‑gebruik verbiedt zonder een gelijkwaardig alternatief te bieden, verdwijnt het gebruik niet, maar verplaatst het zich ‘onder de radar’. Alleen richtlijnen vastleggen is daarbij onvoldoende. Wat beter werkt, is gecontroleerd faciliteren: veilige en gebruiksvriendelijke alternatieven bieden, duidelijke kaders stellen en IT laten meebewegen in plaats van afremmen.
Als organisaties dat goed doen, ontstaat er behoefte aan duidelijke keuzes, praktische handvatten en ondersteuning die aansluit op het dagelijkse werk van medewerkers. In die situatie groeit ook het begrip voor waarom een zakelijke AI‑oplossing soms strikter, formeler of minder creatief is. Dat wordt dan niet gezien als een beperking, maar als een bewuste keuze om veilig en verantwoord te werken. Wanneer dat perspectief helder is en het alternatief goed bruikbaar voelt, verliest Shadow AI vanzelf een groot deel van zijn aantrekkingskracht.
Dat Shadow IT bij organisaties een veelbesproken onderwerp is, blijkt ook uit het gesprek met Security Officer Gijs Koenjer van Unica, dat plaatsvond tijdens de podcastserie ‘Tussen Mens en Techniek’. Gijs verwoorde dat security ondersteunend is aan het bedrijfsproces en daarin geen remmende factor moet zijn. Maar dat is nou net de meest ingewikkelde uitdaging in zijn vakgebied – “Hoe krijgen we nou het werk zo dat we het voor iedereen veilig en iedereen tevreden houden?”. Het liefste is zijn securityteam daarin niet van de afdeling ‘no as a service’, en willen ze graag meedenken in het zo goed mogelijk ondersteunen van de business. De bekende weegschaal van vroeger wordt vaak uit de spreekwoordelijke kast getrokken: de balans tussen veiligheid en gebruiksgemak is een continue afweging.
)
)
)
Waar Unica een grote organisatie is met ruim vierduizend medewerkers, werkt er vanzelfsprekend ook een afspiegeling van de samenleving. Van alle soorten en maten, achtergronden, verschillende vakgebieden en functies. Iedereen ervaart security op een andere manier, ervaart iets als belemmerend of juist ondersteunend. Shadow IT ligt daarin op de loer, al geeft de techniek ze daarin wel steeds meer inzicht. Maar niet alleen met gemak voor de medewerkers wil je rekening houden, het is ook noodzakelijk voor privacy. Met de techniek en tools kun je tegenwoordig zien hoeveel verkeer er bijvoorbeeld naar een bepaalde dienst gaat, van waaruit je kunt afleiden of je spreekt van een hoger of juist een lager risico. Maar voorzichtig is daarbij wel geboden; je wilt niet te ver in het privégedeelte van de medewerker komen. Een onderwerp waar dus zeker aandacht voor moet zijn, niet belemmeren maar wel controleren.
Door werkplekken te standaardiseren, bijvoorbeeld met een aanbieder van een Application Workspace, wordt het mogelijk een sterke werkplekomgeving te creëren. Alles vanuit het nieuwste systeem, met een nieuwe securitystandaard waarin lokale adminrechten voor medewerkers die dit niet nodig zijn verwijderd worden maar ook applicaties automatisch gedistribueerd worden. Het maakt de beveiliging sterker, stroomlijnt werkplekmanagement en medewerkers maken gebruik van een moderne en betrouwbare digitale werkplek.
De eerste stap is het stroomlijnen van het applicatielandschap. Door onnodige complexiteit weg te halen en applicaties te standaardiseren, creëer je een meer transparant en beter te managen omgeving. Door daar een applicatiewerkruimte aan toe te voegen, creëer je een eenvoudig en gebruiksvriendelijk platform dat je medewerkers in staat stelt om applicaties zelfstandig te installeren en te updaten. Tegelijkertijd blijft je IT-afdeling volledig in controle over de veiligheid, het beleid en het beheer van de levenscyclus van de gebruikte devices.
Het evenwicht dat zo tussen autonomie en governance ontstaat stelt jou als organisatie in staat om snel te reageren op veranderende bedrijfsbehoeften, zonder de stabiliteit of veiligheid ervan in gevaar te brengen. Het applicatieplatform en de bijbehorende satellietmogelijkheden zorgt voor centraal beheer, updates en distributie vanaf één enkele plek; de efficiëntie en consistentie zal aanzienlijk verbeteren, Shadow IT wordt verminderd en medewerkers profiteren van een snelle, stabiele en toekomstbestendige digitale werkruimte.
)
)
)
)
)
)
In alles wat Shadow IT raakt, het blijven houden van controle is cruciaal. Risk & Compliance Manager Aschwin neemt je in de zorgplicht rondom NIS2 en waarom dit zo cruciaal is. Want het is niet alleen cruciaal omdat je je organisatie wilt beschermen, maar juist ook om technologische ontwikkelingen niet enorm af te remmen. Waar de Cyberbeveiligingswet (CBW) in Nederland wordt ingevoerd (als omzetting van NIS2 naar Nederlandse wetgeving), gaat in de kern om het monitoren en het hebben van zicht op de werking van je belangrijke bedrijfsprocessen. Of het nu om IT-middelen zoals een laptop, server, netwerkcomponent of firewall gaat, of OT-apparatuur zoals een besturingselement (PLC) of sensor.
)
)
)