Shadow IT: narzędzia, o których firma nie wie. Skąd się biorą i co z nimi zrobić?

W skrócie: Shadow IT rzadko wynika ze złej woli. Najczęściej to zespół, który chce zdążyć z zadaniem, a firmowe narzędzie albo procedura mu na to nie pozwala. Problemem nie jest jakość prywatnej poczty czy darmowej aplikacji, tylko to, że firma nie kontroluje dostępu, nie sprawdziła warunków usługi i może nie odzyskać danych po odejściu pracownika. Same zakazy niewiele tu zmienią. Pomaga szybka ścieżka próśb do IT i zasada, że zgłoszenie własnego narzędzia nie kończy się karą. Zobacz dwie lekcje kursu bez logowania.

Informatyk klienta, sieci hurtowni, dzwoni z uprzejmym pytaniem: czy ta oferta na pewno jest od was? Wiadomość przyszła z darmowej skrzynki, link prowadzi do nieznanego serwisu z plikiem 180 MB, a filtr pocztowy klienta zablokował całość jako podejrzaną.

Oferta była prawdziwa. Wysłał ją zespół handlowy z oddziału, który od pół roku działa obok firmowego IT. Firmowa poczta nie przyjmowała dużych załączników, więc oferty wychodziły z darmowej skrzynki. Pliki trafiały do serwisu, z którego jedna z handlowczyń korzystała prywatnie, a całe archiwum ofert z bieżącego roku leżało na jej prywatnym dysku. Hasło do wspólnej skrzynki znał cały zespół i kolega, który odszedł z firmy dwa miesiące wcześniej.

Tę historię opowiadamy w lekcji o Shadow IT w naszym kursie cyberbezpieczeństwa. Jest zmyślona, ale każdy jej element spotkasz w prawdziwych biurach. W tym artykule patrzymy na nią z perspektywy firmy: dlaczego takie „własne IT” powstaje, co organizacja przez nie traci i jak je ograniczyć bez polowania na winnych.

Czym jest Shadow IT?

Shadow IT (po polsku czasem „IT w cieniu”) to narzędzia, usługi i konta używane do pracy bez wiedzy albo zgody firmy. Działają obok oficjalnych systemów i poza kontrolą działu IT.

W biurze spotkasz zwykle cztery odmiany:

• darmowe usługi bez zgody firmy: serwisy do przesyłania dużych plików, konwertery PDF online, tablice zadań, aplikacje do notatek, generatory ankiet;
• prywatna poczta do spraw służbowych: oferta wysłana z darmowej skrzynki, umowa przesłana sobie „do domu”, przekazywanie służbowych maili na prywatny adres na czas urlopu;
• folder zespołu na prywatnym dysku: po kilku miesiącach to główne miejsce pracy działu, choć formalnie należy do jednej osoby, która decyduje o dostępie i może go w każdej chwili usunąć;
• narzędzie wdrożone na własną rękę: program na służbowym laptopie, dodatek do przeglądarki, aplikacja, która dostała dostęp do firmowej poczty.

Do tej samej kategorii należą czaty AI używane do pracy bez zatwierdzenia przez firmę, także w płatnych wersjach. NCSC nazywa takie zastosowanie shadow AI. Firmowe dane trafiają wtedy do dostawcy, którego warunków firma nie sprawdziła.

O tym, czy narzędzie jest problemem, nie decyduje jego jakość. Większość narzędzi, po które sięgają pracownicy, jest naprawdę dobra. Wystarczą trzy pytania: czy firma zatwierdziła takie zastosowanie, kto zarządza dostępem i czy firma sprawdziła warunki korzystania z usługi? Jeśli nikt w firmie nie umie na nie odpowiedzieć, narzędzie najpewniej działa poza jej kontrolą. Jeśli odpowiedzi nie zna tylko pracownik, powinien sprawdzić status narzędzia w IT. To sygnał ostrzegawczy, a nie dowód, że korzysta z Shadow IT.

Dlaczego pracownicy obchodzą firmowe IT?

Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) w wytycznych o Shadow IT zwraca uwagę, że rzadko wynika ono ze złej woli. Zwykle pojawia się wtedy, gdy firmowe narzędzie albo procedura nie pozwala wykonać konkretnego zadania: brakuje miejsca na pliki, nie ma narzędzia do wideorozmów, prośba do IT ciągnie się tygodniami.

Zespół z naszego przykładu nie chciał niczego ukryć. Chciał zdążyć z ofertą przed konkurencją i zdążył. Najbardziej pouczające jest zakończenie tej historii: firmowy dysk od dwóch lat pozwalał udostępnić klientowi duży plik przez link z hasłem i datą wygaśnięcia. Nikt z zespołu o to nie zapytał, a nikt z IT tego nie pokazał. Przeniesienie ofert zajęło jedno popołudnie.

To częsty schemat. Pracownicy nie obchodzą IT dla sportu. Robią to wtedy, gdy droga przez IT jest dłuższa niż droga na skróty.

Co firma traci, gdy nie wie o narzędziu?

System zespołu działał, dopóki nic się nie stało. Różnica między narzędziem zarządzanym przez firmę a prywatnym kontem wychodzi w chwili, gdy coś pójdzie nie tak. Narzędzie firmowe nie daje tych zabezpieczeń automatycznie, ale firma może je wdrożyć i sprawdzać.

Kilka z tych punktów wymaga rozwinięcia.

Wspólne hasło bez drugiego składnika. Wspólna skrzynka zespołu nie miała włączonego drugiego składnika logowania, bo kod przychodziłby na jeden telefon, a korzysta z niej sześć osób. Zostało samo hasło znane siedmiu osobom, w tym byłemu pracownikowi. Wystarczy, że wycieknie z dowolnego serwisu, w którym ktoś użył go ponownie.

Dane osobowe u niesprawdzonego dostawcy. Oferty zawierały nazwiska i dane kontaktowe osób po stronie klientów. Jeżeli zewnętrzny dostawca przetwarza dane osobowe w imieniu firmy, art. 28 RODO wymaga umowy powierzenia. Może ona mieć formę elektroniczną, także jako część warunków usługi. Samo zaakceptowanie regulaminu na prywatnym koncie nie daje jednak firmie pewności, że taka umowa została zawarta. Trzeba sprawdzić, czy warunki usługi spełniają wymagania art. 28 RODO i wiążą dostawcę z firmą jako administratorem danych. Firma nie sprawdzi tego w przypadku usługi, o której istnieniu nie wie.

Wiadomości nie do odróżnienia od ataku. Klient przyzwyczajony do ofert z darmowej skrzynki może mieć trudność z odróżnieniem prawdziwej wiadomości od wiadomości oszusta, który się pod nas podszywa. Tym razem filtr klienta zadziałał, bo wiadomość wyglądała dokładnie tak, jak wyglądałby atak.

Reakcja na incydent. Jeśli dojdzie do wycieku, IT może nie wiedzieć, gdzie szukać danych. Firma ma wtedy trudność z oceną zakresu naruszenia i ustaleniem, czy trzeba je zgłosić do Prezesa UODO. Inspektor ochrony danych (IOD), jeśli firma go wyznaczyła, wspiera tę ocenę. W corocznym badaniu IBM o kosztach naruszeń danych z 2024 roku w 35% przeanalizowanych naruszeń część danych znajdowała się w miejscach, którymi organizacja nie zarządzała. Badanie nie twierdzi, że te naruszenia spowodowało Shadow IT. Pokazuje natomiast, jak często dane objęte naruszeniem leżą poza kontrolą firmy.

„Zaloguj przez konto firmowe” to nie zgoda firmy

Osobnej uwagi wymaga jedna z najmniej widocznych odmian Shadow IT. Zespół rozpisywał zadania na darmowej tablicy, do której logował się przyciskiem „Zaloguj przez konto Microsoft”. Uznał, że skoro logowanie jest firmowe, to aplikacja też.

Tak nie jest. Samo logowanie kontem firmowym nie daje aplikacji dostępu do poczty czy plików. Decydują o tym uprawnienia, które aplikacja otrzyma. Podczas logowania może pojawić się prośba o takie dodatkowe uprawnienia, na przykład „odczyt Twojej poczty” albo „dostęp do kalendarza”. Kiedy pracownik klika „Zezwól”, daje zewnętrznej aplikacji dostęp do własnych danych w systemie firmy.

W zależności od konfiguracji Microsoft Entra ID (usługi, w której firma zarządza kontami pracowników) użytkownik może sam zatwierdzić część uprawnień aplikacji, a inne wymagają zgody administratora. Warto sprawdzić, jak te ustawienia wyglądają w Twojej organizacji, bo domyślna konfiguracja nie zawsze odpowiada temu, czego firma oczekuje. Pracownikom wystarczy prosta zasada: jeśli nowa aplikacja prosi o dostęp do poczty, kalendarza albo plików służbowych, nie klikają „Zezwól”, tylko wysyłają IT nazwę aplikacji i krótki opis, do czego jej potrzebują.

Jak ograniczyć Shadow IT, nie polegając tylko na zakazach?

Zakaz bez alternatywy nie usuwa Shadow IT, tylko sprawia, że przestaje być widoczne. Zespół, który usłyszy „nie wolno”, a nadal musi wysłać plik 180 MB, znajdzie inny sposób i tym razem nikomu o nim nie powie. Skuteczniejsze są cztery rzeczy.

1. Zacznij od pytania, czego brakuje

W naszym przykładzie rozmowa z zespołem zajęła minutę: brakowało wysyłki dużych plików i jednego miejsca na wspólne dokumenty. Oba narzędzia firma już miała. Zanim kupisz nowe narzędzie albo napiszesz nowy zakaz, sprawdź, czy pracownicy wiedzą, co już mają do dyspozycji.

2. Daj prostą ścieżkę próśb do IT

Prośba „potrzebuję programu do dużych plików, pilne” zmusza IT do dopytywania, a zespół w tym czasie znajduje własne rozwiązanie. Dobra prośba odpowiada na pięć pytań, które i tak padną:

1. Czego potrzebuję? Zadanie, a nie marka: „wysyłka plików do 500 MB do klientów spoza firmy”.
2. Do czego, jak często i dla ilu osób? Jedna osoba raz w roku to inna sprawa niż cały zespół codziennie.
3. Jakie dane tam trafią? Dane osobowe, ceny, umowy. To pytanie najbardziej interesuje IOD.
4. Co próbowałem i co nie działa? Czasem wystarczy zmiana ustawień, bez nowego narzędzia.
5. Na kiedy i jaką mam propozycję? Nazwa znalezionego narzędzia to propozycja, a nie gotowa decyzja.

Taki szablon warto udostępnić pracownikom w formularzu albo w systemie zgłoszeń.

3. Odpowiadaj szybko i nie odmawiaj bez alternatywy

Prośba może przejść przez kilka kroków: IT sprawdza, czy firma ma już takie narzędzie (często tak i wtedy odpowiedź przychodzi tego samego dnia), potem ocenia nowe narzędzie (gdzie są dane, drugi składnik logowania, zarządzanie kontami, umowa), a jeśli narzędzie ma przetwarzać dane osobowe, ocenia je IOD.

Odpowiedź ma trzy możliwe warianty: „tak”, „tak, z warunkami” albo „nie, ale zamiast tego użyj…”. Samo „nie” nikomu nie pomaga. Pomaga też zadeklarowany termin, na przykład odpowiedź w ciągu dwóch dni roboczych, nawet jeśli brzmi „jeszcze sprawdzam”. Jeśli sprawa jest pilna, pracownik powinien wiedzieć, że może zadzwonić i poprosić o rozwiązanie tymczasowe. Usługa uruchomiona samodzielnie „na chwilę” zwykle zostaje na pół roku.

4. Nie karz za zgłoszenie własnego narzędzia

NCSC zaleca, żeby do osób, które sięgnęły po Shadow IT, podchodzić bez obwiniania. Kara uczy tylko jednego: następnym razem nic nie mówić. Firma, która chce wiedzieć, gdzie są jej dane, musi sprawić, że przyznanie się do prywatnego folderu jest prostsze niż jego ukrywanie.

Przy porządkowaniu ważna jest kolejność. Pracownik zgłasza narzędzie IT i niczego nie kasuje na własną rękę, bo prywatny folder może być jedyną kopią dokumentów. Z prywatnego konta usuwa je dopiero wtedy, gdy IT potwierdzi, że przeniesienie do firmowego narzędzia jest kompletne, i uzgodni z nim dalsze kroki. Jeśli logował się do usługi kontem firmowym, IT pomaga wycofać udzielone jej uprawnienia.

Pracownik powinien rozpoznać Shadow IT, zanim założy konto w nowej usłudze

Procedura po stronie firmy to połowa rozwiązania. Druga połowa to pracownik, który przed rejestracją w nowej usłudze zada sobie jedno pytanie: czy firma wie, gdzie będą moje dane?

W naszym szkoleniu e-learningowym z cyberbezpieczeństwa dla pracowników Shadow IT poświęcamy osobną lekcję. Kursant rozwiązuje w niej cztery sytuacje z jednego tygodnia pracy: plik 180 MB odrzucony przez pocztę, aplikację proszącą o dostęp do kalendarza, przekazywanie maili na czas urlopu i udostępnianie folderu klientowi. Uczy się też pisać prośbę do IT, na którą łatwo odpowiedzieć szybko.

Źródła

1. National Cyber Security Centre (Wielka Brytania), Shadow IT, wytyczne opublikowane 27.07.2023, przegląd 14.08.2026.
2. IBM, Hidden risk of shadow data and shadow AI leads to higher breach costs, omówienie raportu Cost of a Data Breach 2024. Raport nie wskazuje Shadow IT jako przyczyny opisanych naruszeń.
3. Microsoft Learn, Configure how users consent to applications (Microsoft Entra ID).
4. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 28 (powierzenie przetwarzania) i art. 33 (zgłaszanie naruszeń).