Shadow IT: de cloud-apps die niemand heeft goedgekeurd

Shadow IT ziet er in het begin onschuldig uit. Vraag een ondernemer hoeveel online diensten zijn bedrijf gebruikt, en het antwoord is meestal een stuk of tien. Microsoft 365 of Google Workspace, het boekhoudpakket, het urensysteem, misschien een projecttool. Overzichtelijk.

Kijk vervolgens mee met wat er op een gemiddelde werkdag daadwerkelijk wordt geopend, en het worden er tientallen. Een gratis tool om een pdf te verkleinen. Een dienst om grote bestanden te versturen omdat de mail het niet aankon. Een ontwerpprogramma waar de marketingstagiair een account voor aanmaakte. Een takenlijst die één team fijn vindt werken. Een vertaalsite waar contracten doorheen gaan.

Dat heet shadow IT: software die in gebruik is zonder dat iemand er formeel over heeft besloten. Het ontstaat zelden uit onwil. Het ontstaat omdat iemand zijn werk af wilde krijgen en er een knop was die hielp.

Waar dit artikel over gaat, en waar niet

Shadow IT valt in het MKB uiteen in een paar duidelijk verschillende problemen, en die vragen om verschillende oplossingen. Dit artikel gaat over cloud-diensten waar medewerkers zelf een account op aanmaken: de losse apps en websites naast je officiële omgeving.

Gaat het over AI-tools waar bedrijfsteksten in worden geplakt, lees dan shadow AI op de werkvloer. Gaat het over externe apps die je met een toestemmingsknop aan je Microsoft- of Google-omgeving hebt gekoppeld, dan is externe apps en koppelingen beoordelen het juiste artikel. En over apparaten die zomaar op het netwerk verschijnen schreven we slimme apparaten op kantoor.

Waarom dit in 2026 anders is dan vijf jaar geleden

Shadow IT bestaat zo lang als er internet is. Er zijn drie dingen veranderd die het lastiger maken.

Aanmelden kost geen drempel meer. Een gratis account is er in dertig seconden, meestal met een zakelijk e-mailadres en zonder dat er iemand hoeft te betalen. Er is dus geen factuur waarop je het terugziet, wat vroeger de manier was waarop dit soort dingen alsnog boven water kwamen.

De grens tussen tool en functie is vervaagd. Steeds meer diensten die je al gebruikt, hebben er zelf functies bij gekregen die data naar buiten kunnen sturen. Er is dan geen moment waarop iemand bewust “een nieuwe tool” kiest — hij vinkt een functie aan die er al zat.

De gegevens blijven achter. Vroeger stond het werk op de laptop en ging die laptop mee terug naar kantoor. Nu staan de bestanden bij een dienst waar alleen die ene medewerker de inloggegevens van heeft, gekoppeld aan een adres dat je bij vertrek uitzet — waarna niemand er meer bij kan. Ook jij niet.

Wat er in de praktijk misgaat

Gegevens die je niet meer kunt terughalen

Dit is het meest concrete risico van shadow IT. Klantenlijsten in een gratis nieuwsbriefdienst, offertes in een online tekstverwerker, foto’s van een project in een persoonlijke opslagdienst. Zolang alles goed gaat, merk je er niets van. Op het moment dat de medewerker vertrekt, of dat de dienst zijn gratis pakket beëindigt, ben je afhankelijk van iemands goede wil.

Delen dat wijder openstaat dan iemand doorhad

Veel gratis diensten staan standaard ruimer ingesteld dan een zakelijke omgeving. Een gedeelde link is dan een link waar iederéén bij kan, zonder wachtwoord en zonder vervaldatum. Zo’n link belandt in een mail, die wordt doorgestuurd, en blijft daarna jaren werken.

Geen afspraken over wat er met je gegevens gebeurt

Zodra er persoonsgegevens in het spel zijn — klantnamen, adressen, cv’s, ziekmeldingen — heb je onder de AVG afspraken nodig met de partij die ze verwerkt. Bij een dienst waar niemand een contract mee heeft, zijn die er niet. Dat is geen theoretisch punt: bij een datalek moet je kunnen vertellen waar de gegevens stonden. Wij zijn geen juristen, maar dit is het soort vraag waar je liever niet voor het eerst over nadenkt terwijl je een melding aan het opstellen bent. Meer daarover in compliance in de cloud.

Kosten die je pas achteraf ziet

Gratis pakketten worden op enig moment betaald pakketten. Meestal via een persoonlijke creditcard of een automatische incasso op een privérekening, met een bonnetje dat als onkosten wordt gedeclareerd. Zo betaalt een bedrijf van dertig man soms voor vier verschillende diensten die hetzelfde doen.

Begin niet met blokkeren

De reflex is begrijpelijk: als je erachter komt hoeveel software er buiten je om in je organisatie draait, wil je een streep zetten. Doe dat niet als eerste stap.

Blokkeren zonder alternatief levert twee dingen op. Mensen worden er beter in om het niet te laten zien — ze gebruiken hun privételefoon of privé-mailadres, en dan heb je helemáál geen zicht meer. Of ze stappen over op een andere dienst die hetzelfde doet en die je nog niet kende, en soms is die slechter.

De vraag die je eerst wilt beantwoorden is niet “hoe zet ik dit uit”, maar “welk probleem loste deze persoon hiermee op”. Als vier mensen een dienst gebruiken om grote bestanden te versturen, is dat een signaal dat je eigen manier om grote bestanden te versturen niet werkt of niet bekend is. Blokkeren lost dat niet op.

Zo krijg je het in beeld: een ronde in vier stappen

Stap 1: verzamel wat je al hebt

Je hoeft hier niets nieuws voor aan te schaffen. Vier bronnen leveren samen een verrassend compleet beeld op:

Je inloggegevens. Veel diensten laten mensen inloggen met hun werkaccount. In het beheer van Microsoft 365 of Google Workspace zie je precies welke applicaties dat zijn.

De bankafschriften van twaalf maanden. Zoek op terugkerende kleine bedragen. Doe hetzelfde met de ingediende onkostendeclaraties — daar zitten de abonnementen op persoonsnaam.

De browsergeschiedenis of het netwerkverkeer. Op beheerde laptops kun je zien welke diensten er dagelijks worden geopend. Kondig dit aan in plaats van het stiekem te doen; dat is beter én verplicht.

De mensen zelf. Onderschat deze niet. Stel de vraag zonder oordeel: “welke tools of websites gebruik je die je werk sneller maken?” Je krijgt hier veel meer uit dan uit een vraag die klinkt als een onderzoek.

Stap 2: kijk naar het werk, niet naar de namen

Een lijst met veertig appnamen helpt je niet verder. Wat je wilt weten is per dienst: welk werkproces loopt hierdoorheen, wat gaat erin, wat komt eruit, en wie is de enige die erbij kan.

Die laatste vraag is de belangrijkste en wordt het vaakst overgeslagen. Een dienst waar één persoon de sleutel van heeft, is een risico dat losstaat van hoe veilig die dienst zelf is.

Stap 3: sorteer op wat erin gaat, niet op hoe eng het klinkt

Gebruik drie bakjes die iedereen kan toepassen zonder uitleg:

Openbaar — dingen die net zo goed op je website kunnen staan. Een tool om een foto bij te snijden hoort hier. Weinig aan de hand.

Intern — bedrijfsinformatie die niet naar buiten hoort maar geen persoonsgegevens bevat. Planningen, concepten, interne notities.

Gevoelig — persoonsgegevens, financiële gegevens, klantdossiers, alles wat onder een contract met een klant valt. Hier begin je.

Dat sorteren duurt een middag en scheelt je weken discussie. Negentig procent van je aandacht hoort naar dat derde bakje.

Stap 4: beslis per dienst, en maak de keuze zichtbaar

Vier uitkomsten, meer heb je niet nodig:

Goedgekeurd. De dienst blijft, maar wordt netjes gezet: een zakelijk account, inloggen via je eigen omgeving, meerdere beheerders, en betaald vanaf de zakelijke rekening.

Beperkt. Mag blijven voor het lichte werk, met de afspraak dat er geen gevoelige gegevens in gaan. Dit werkt alleen als de grens concreet is — “geen klantgegevens” is duidelijk, “wees voorzichtig” niet.

Vervangen. Er is al iets in je bestaande omgeving dat dit kan. Meestal zit dat in het pakket waar je al voor betaalt en wist niemand het. Dit is de goedkoopste uitkomst die er is.

Gestopt. Voor het kleine deel dat echt niet kan. Kondig het aan, geef een datum, en lever tegelijk het alternatief. Anders krijg je stap één weer terug.

Leg de uitkomst ergens vast waar mensen hem kunnen vinden. Eén overzichtje met “dit gebruiken we, dit niet, en dit gebruiken we voor bestanden versturen” voorkomt het grootste deel van de volgende ronde.

Een voorbeeld uit de praktijk

Een adviesbureau met 31 medewerkers deed deze ronde na een vraag van een klant over waar hun dossiers stonden. Uit de inloggegevens en de bankafschriften kwamen 43 diensten.

Van die 43 waren er 12 goedgekeurd en bekend. Zeventien waren onschuldig — omzetters, kleurenkiezers, dat soort dingen. Negen deden hetzelfde als iets wat al in hun Microsoft-pakket zat; die zijn vervangen en dat scheelde ook nog 140 euro per maand aan abonnementen.

Vijf vroegen om actie. De belangrijkste: een dienst voor het delen van bestanden waarin projectdossiers stonden van drie klanten, met een gedeelde link zonder vervaldatum, op naam van een medewerker die anderhalf jaar eerder was vertrokken. Het account werkte nog, want het was gekoppeld aan zijn privé-mailadres.

Niemand had hier iets fout gedaan. Er was alleen nooit iemand geweest die de vraag stelde.

Zo pak je het aan

Trek er één dagdeel voor uit en doe het in deze volgorde:

Haal de lijst met toepassingen op uit je Microsoft- of Google-beheer. Loop twaalf maanden bankafschriften en declaraties door op terugkerende kleine bedragen. Stel de vraag aan je team, zonder oordeel. Zet alles op één lijst en zoek per regel uit waar de gevoelige gegevens zitten. Beslis daarop, begin bij de gevoelige. Schrijf het resultaat op één A4. Zet de ronde daarna in je agenda: twee keer per jaar, een uur.

Wat je hiermee koopt is niet dat er nooit meer een tool bijkomt. Dat gebeurt sowieso, en dat is meestal goed nieuws. Wat je koopt is dat je het weet.

Veelgestelde vragen

Wat is shadow IT precies, en wat maakt het riskant?

Shadow IT is alle software, apps en apparaten die in je organisatie worden gebruikt zonder dat de IT-afdeling of je IT-partner ervan weet. De risico’s zitten niet in de tools zelf, maar in het gebrek aan controle: niemand kijkt naar de beveiliging, niemand weet welke gegevens erin staan, en bij regelgeving als de AVG kun je niet aantonen waar je data verwerkt wordt. Daarom begin je bij de applicaties waar klant- of persoonsgegevens in zitten, niet bij de tools die het engst klinken.

Mag ik als werkgever zien welke websites en diensten mijn medewerkers gebruiken?

Voor het beheren en beveiligen van je eigen omgeving mag je in grote lijnen meekijken, mits je vooraf duidelijk maakt dát je dit doet en waarom, en het voor iedereen gelijk geldt. Wat lastiger ligt is het gericht volgen van één individuele medewerker — dat is monitoring en daar gelden strengere eisen voor, vaak inclusief instemming van de ondernemingsraad. Wij zijn geen juristen; leg dit vast in je IT-beleid voordat je begint. Zie ook medewerkers monitoren: voor- en nadelen.

Hoeveel diensten vind ik bij zo’n ronde, ongeveer?

Bij bedrijven tot vijftig medewerkers ligt het meestal tussen de dertig en zestig. Dat klinkt alarmerend, maar het overgrote deel is onschuldig. De aandacht gaat naar de handvol waar klant- of persoonsgegevens in zitten.

Wat doe ik met een dienst waar één medewerker de enige beheerder van is?

Dat los je meteen op, los van hoe risicovol de dienst zelf is. Zet er een tweede beheerder bij, liefst op een gedeeld zakelijk adres, en zorg dat het abonnement op de zaak staat. Dit is dezelfde valkuil die we beschrijven in de eerste 24 uur van een offboarding.

Moeten we dan alles vastleggen in een beleid?

Een kort stuk is genoeg: welke diensten zijn goedgekeurd, waar je terecht kunt als je iets nodig hebt dat er niet is, en welke soorten gegevens nooit in een niet-goedgekeurde dienst horen. Eén A4 dat mensen lezen werkt beter dan tien pagina’s die in een map verdwijnen. Zie IT-beleid voor het MKB.

Is dit hetzelfde als een licentie-opschoning?

Niet helemaal, maar ze vullen elkaar aan. Bij een licentie-opschoning kijk je naar wat je betaalt en niet gebruikt; hier kijk je naar wat je gebruikt en niet weet. Doe ze gerust in dezelfde week — zie Microsoft 365-licenties opschonen.

Wil je weten welke diensten er in jouw bedrijf rondlopen? We halen de lijst boven water, sorteren hem op risico en zetten er per regel een besluit onder. Bel 030-7115791 of mail naar info@okayict.nl.