Shadow IT to termin, którym określamy zjawisko wykorzystywania przez pracowników sprzętu i oprogramowania, które nie zostało wcześniej zaakceptowane przez dział IT lub pracodawcę, do użytku wewnątrz sieci firmowej. Problem może dotyczyć niemal każdej organizacji, a jego całkowite wyeliminowanie jest praktycznie niemożliwe – nawet przy maksymalnej kontroli. Warto jednak dążyć do jego zminimalizowania.

Źródłem shadow IT jest zazwyczaj brak dostępu do potrzebnych narzędzi – zarówno sprzętowych, jak i cyfrowych. Pracownicy, którzy np. w poprzednich miejscach pracy przyzwyczaili się do konkretnych narzędzi, zaczynają często wdrażać poszczególne rozwiązania na własną rękę: przynoszą z domu prywatny sprzęt, łączą się z prywatną chmurą, uploadują pliki np. do drop box, we share itp. czy wykorzystują pobierane z sieci oprogramowanie (często bez licencji). Zdarza się też, że firma nie dysponuje jeszcze wystarczającymi narzędziami do wdrożenia nowych usług, a mimo to wprowadza je do swojej oferty, stawiając pracownika w trudnej sytuacji – kadra próbuje sobie wówczas radzić z ogólnodostępnym oprogramowaniem pobieranym z sieci czy oprogramowaniem na prywatnej licencji.

Zjawisko to zdecydowanie nasiliło się, gdy w wyniku wybuchu pandemii COVID-19 wiele firm zostało zmuszonych do niemal natychmiastowego przejścia w tryb pracy zdalnej. Jeszcze bardziej uwydatniło to braki w dostępie do dobrej jakości narzędzi cyfrowych o wysokim poziomie bezpieczeństwa (np. komunikatorów, VPN).

• Sztandarowym przykładem shadow IT jest korzystanie przez pracowników z prywatnych skrzynek e-mail w celach służbowych. Niechronione programami antyspamowymi, programami anty-malware i niefiltrowane skrzynki pracowników mogą sprowadzić do firmowej sieci liczne zagrożenia lub przyczynić się do wycieku wrażliwych danych.


• W przypadku braku dedykowanych rozwiązań do udostępniania plików przekraczających możliwości poczty e-mail, nierzadko zdarza się, że pracownicy posiłkują się ogólnodostępnymi rozwiązaniami, jak Google Drive, OneDrive czy DropBox. Dział IT nie ma wówczas pojęcia o przepływie danych, które mogą być narażone na przechwycenie lub wyciek. To także ryzyko pobrania złośliwego oprogramowania na firmowe komputery.


• Równie ważnym problemem jest korzystanie z prywatnych komunikatorów do kontaktu wewnątrz firmy. Nawet sprawdzone usługi mogą mieć podatności, na które dział bezpieczeństwa IT może nie być przygotowany.


• Korzystanie z pobieranych z sieci edytorów tekstów, oprogramowania graficznego, konwertorów plików graficznych i innych narzędzi webowych np. do łączenia plików pdf, narzędzi do łamania haseł, również można sklasyfikować jako shadow IT.


• Zjawisko shadow IT dotyczy również strony sprzętowej – korzystanie z prywatnych tabletów graficznych, smartfonów i laptopów w firmach, które na to nie zezwalają, jest jawnym naruszeniem przyjętych polityk bezpieczeństwa.