Shadow IT in het MKB: het sluipende ransomware-risico

Waarom shadow IT zo riskant is

Onbekende tools zijn niet beveiligd volgens uw beleid: geen MFA, geen SSO, geen backup, geen contract over wat er met de data gebeurt. Daarnaast eindigen bedrijfsdocumenten in persoonlijke accounts die met de medewerker meegaan bij vertrek — een AVG-tijdbom. En tot slot: aanvallers gebruiken shadow IT-credentials vaak als opstap naar uw echte systemen.

Veelvoorkomende shadow IT

In onze audits komen we steevast dezelfde tools tegen — meestal zonder dat de directie het wist.

• Persoonlijke Dropbox, Google Drive of OneDrive accounts voor klantbestanden
• WeTransfer voor delen van grote bestanden zonder retentie-beleid
• Online PDF-converters waar gevoelige documenten worden geüpload
• Gratis vertaaldiensten waar contracten worden geplakt
• Persoonlijke ChatGPT / Claude / Gemini accounts met bedrijfsdata
• Onofficiële mobiele apps gekoppeld aan zakelijke accounts

Aanpak: niet verbieden, maar reguleren

Verbieden werkt niet — medewerkers vinden altijd wegen omheen. Beter is: biedt goedgekeurde alternatieven, maak het makkelijk om nieuwe tools aan te vragen, en monitor via Microsoft Cloud App Security of vergelijkbare oplossingen welke diensten écht worden gebruikt. Faciliteer vervolgens de populaire opties officieel — met SSO, MFA en een data-verwerkersovereenkomst.