“Schaduw-IT: het hoeft niet zo eng te zijn als het lijkt”
Wilco Ravestein, Country Manager, Benelux – Paessler
In het meest recente seizoen van de Netflix-serie Stranger Things moeten tieners in het stadje Hawkins vechten tegen kwaadaardige en moorddadige wezens uit ‘the upside down’ – een duister parallel universum dat met het onze is verbonden als gevolg van slecht gepland wetenschappelijk onderzoek. In bedrijfsnetwerken loert een soortgelijk gevaar als werknemers onbekende of niet goedgekeurde infrastructuur gebruiken. Welkom in de duistere wereld van schaduw-IT.
Bij netwerkbeheerders kan alleen al de gedachte aan onbekende of deels niet vertrouwde IT-infrastructuur op het netwerk genoeg zijn om wakker van te liggen. Bij schaduw-IT kunnen complexe infrastructuren ontstaan als gevolg van dagelijkse praktijken, zonder dat de IT-afdeling hier goedkeuring aan geeft of weet van heeft. Die infrastructuur kan alles omvatten van beheersbare hardware-omgevingen tot complete ERP-oplossingen die dagelijks worden gebruikt binnen het bedrijf – oplossingen die gebruikmaken van data uit het officiële ERP-systeem, maar die niet inzichtelijk zijn voor de IT-afdeling.
Onafhankelijke schaduw-IT ontstaat vaak als gevolg van slecht management of planning. Als een afdeling niet de juiste tools krijgt voor het werk dat ze moeten doen, of als afdelingsmanagers niet doordrongen zijn van het belang van werken met een gecentraliseerd bedrijfsnetwerk, kan het gebeuren dat op de werkvloer oplossingen worden bedacht zonder overleg met de IT-afdeling. Net als de wezens in Stranger Things, kunnen schaduw-IT-netwerken allerlei onheil met zich meebrengen voor netwerken en onwetende IT-afdelingen.
1. Kwetsbaarheden blootleggen
Dit is misschien het eerste risico waar je aan denkt bij onbekende infrastructuur op het netwerk. Infrastructuur die is opgezet zonder de kennis vanuit de IT-afdeling is vaak onvoldoende beveiligd tegen cyberaanvallen. De hardware heeft bijvoorbeeld verouderde firmware of er is geen firewall of virusscanner aanwezig. In een wereld waar het netwerk even sterk is als de zwakste schakel, kan dit een compleet bedrijfsnetwerk kwetsbaar maken voor aanvallen.
2. Rampzalig gegevensverlies
Schaduw-IT-systemen en applicaties zijn geen onderdeel van de back-up- en herstelprocedures van de IT-afdeling. Dat betekent dat kritieke bedrijfsactiviteiten mogelijk plaatsvinden zonder enige vorm van back-up. Als er iets gebeurt, zoals een cyberaanval waarbij gegevens verloren gaan, kan belangrijke bedrijfsdata verdwijnen zonder enige mogelijkheid om die te herstellen. In het ergste geval kan dat aanzienlijke schade berokkenen aan bedrijfsprocessen met mogelijk ernstige financiële gevolgen.
3. Onbeveiligde data
Zelfs als we even het probleem negeren van werken met data zonder voldoende back-up, is er bij schaduw-IT ook geen inzicht in potentiele toegang tot de data. Dat betekent dat aanbieders van externe diensten, onderaannemers en zelfs ex-werknemers toegang kunnen hebben tot gevoelige gegevens. Zonder overkoepelende machtigingen, is het niet mogelijk na te gaan wie toegang heeft tot de data en wat er mee gebeurt.
4. Inefficiënt werken
Hardware en software van schaduw-IT wordt vaak geïnstalleerd zonder de benodigde testen. Hoewel de systemen misschien van pas komen voor de individuele werkzaamheden van degene die ze opzet en dat meestal ook de reden is dat ze verschijnen, kan een niet-getest systeem andere bedrijfskritieke systemen op het netwerk vertragen of zelfs stoppen. Zelfs als schaduw-IT-netwerken vlot draaien, is extra onderhoud en beheer nodig om te zorgen dat de systemen probleemloos werken naast het officiële bedrijfsnetwerk.
5. Compliance
Het is misschien vanzelfsprekend, maar het opzetten van schaduw-IT-processen buiten de gevestigde protocollen van de IT-afdeling is waarschijnlijk in strijd met de compliance-voorschriften. Nog erger is dat de invoering van schaduw-IT voor veel afdelingen een overtreding kan zijn van wettelijke voorschriften en richtlijnen, zoals de AVG. In die gevallen kunnen overtredingen leiden tot (hoge) boetes van toezichthouders en kan zelfs het voortbestaan van het bedrijf in gevaar komen.
Het klinkt allemaal heel eng, maar het hoeft niet zo’n vaart te lopen. Zelfs wijdverbreide schaduw-IT-kwesties zijn controleerbaar als de IT-afdeling en het management de juiste strategieën opzetten. Detecteren is de eerste stap bij het bestrijden van schaduw-IT. Netwerkzichtbaarheid is de belangrijkste factor bij het opsporen en verwijderen van schaduwnetwerken. Zelfs goed verborgen parallelle infrastructuur kan bijvoorbeeld worden gedetecteerd via ongebruikelijk dataverkeer over een router of switch.
Uiteindelijk moet het management passende oplossingen aanbieden, om te zorgen dat parallelle netwerken helemaal niet meer ontstaan. Maar met de juiste tools en genoeg zichtbaarheid, kunnen IT-afdelingen beschikken over voldoende middelen om het gevaar van schaduw-IT te bestrijden. Met een uitgebreide monitoring-oplossing zoals PRTG van Paessler, ben je in staat om limieten, waarschuwingen en triggers te configureren. Die kan PRTG gebruiken om notificaties te sturen via kanalen als Slack en Microsoft Teams, zodat je downtime kunt voorkomen en IT-teams het in de hand kunnen houden. Je kunt PRTG een maand gratis testen, zonder beperkingen. Alle informatie en de PRTG trial vind je hier.
