Skygge-IT er de tjenester, medarbejderne bruger til arbejde, uden at IT kender dem: en privat Dropbox, en gratis projektapp, et regneark i en privat Google-konto, en filoverførselstjeneste eller en AI-tjeneste. Når en sag opstår, er det ofte netop der, de vigtige data ligger. Og I kan ikke selv hente dem. Det første skridt er at kortlægge, hvilke tjenester der er i brug, og hvem der har adgang. Det andet er at sikre de spor, I selv har.
Artiklen er til IT og ledere. Den handler om kortlægning, når en sag er opstået, og om at forebygge, så I har overblik næste gang.
→ Bevissikring af Dropbox og andre cloudlagre
Hvorfor skygge-IT opstår
Det sker sjældent af ond vilje. Medarbejderne vil gerne have løst en opgave hurtigt, og ingen har sagt, at de ikke må. I mindre virksomheder er der ofte ingen fast IT-afdeling til at sige nej eller til at foreslå et alternativ. Firmaets systemer er for langsomme, for besværlige eller mangler en funktion. En afdeling køber en app på et firmakort. En sælger deler filer med en kunde via sin private Dropbox, fordi kunden ikke kan åbne SharePoint. En udvikler gemmer kode i en privat konto.
Problemet viser sig først, når der opstår en sag:
- En medarbejder stopper, og ingen ved, hvor projektfilerne ligger.
- En kunde påstår, at I har lovet noget, og aftalen ligger i en app, som ingen andre har adgang til.
- Der er mistanke om, at fortrolige data er taget med, og det viser sig, at de har ligget i en privat konto i årevis.
- En tjeneste bliver hacket, og I ved ikke, hvilke data der lå der.
Kortlægning, når sagen er opstået
Når I står med en sag, skal I finde ud af, hvilke tjenester den relevante medarbejder eller afdeling har brugt. Der er flere kilder, og ingen af dem er fuldstændig.
1. Spørg
Det enkleste er at spørge kollegerne og lederen: Hvilke værktøjer brugte vedkommende? Hvor delte I filer? Hvor lå kundelisten? Spørg sagligt og uden at afsløre mistanken unødigt. Spørg også kunder og samarbejdspartnere, hvis det er naturligt. De kan ofte fortælle, hvilke links de har fået tilsendt, og hvor de har hentet filer. Skriv svarene ned med dato og navn, så I kan vende tilbage til dem.
2. Kig i økonomien
Økonomi kan se, hvilke abonnementer der er betalt med firmakort eller via udlæg. Gennemgå de seneste år for betalinger til cloudtjenester, apps og abonnementer. Det er ofte den hurtigste vej til et overblik. → Økonomiafdelingens rolle
3. Tjek tilladelser i jeres egne systemer
I Microsoft 365 og Google Workspace kan IT se, hvilke tredjepartsapps medarbejderne har givet adgang til deres konto. En app med adgang til mail eller filer er et vigtigt spor. Notér dem, før de fjernes.
4. Tjek netværks- og firewalllog
Firewall, proxy og DNS-log kan vise, hvilke tjenester computerne på jeres netværk har forbundet sig til, og nogle gange hvor meget data der er sendt. De viser ikke indholdet, og de gemmes typisk kun i en kort periode. Bed IT sikre dem hurtigt. → Firewall-, VPN- og loginlogs
5. Kig på computeren, men lad en sagkyndig gøre det
Medarbejderens computer kan indeholde spor af installerede programmer, synkroniseringsmapper, browserhistorik og gemte logins. Men en gennemgang ændrer spor. Hvis computeren kan blive bevis, så lad en IT-sagkyndig sikre den først. → Kan vi se, om en medarbejder har kopieret filer?
Hvad I kan, og hvad I ikke kan
- Tjenesten er købt af virksomheden · Bede leverandøren om adgang, eksport og log
- Tjenesten er gratis, men oprettet med firmamail · Ofte overtage kontoen via nulstilling, men tal med en rådgiver først
- Tjenesten er medarbejderens private konto · Ikke selv tilgå den. Kræver samarbejde eller en juridisk vej
At logge ind på en medarbejders private konto, også selv om adgangskoden er gemt på firmacomputeren, er ikke i orden. Det kan krænke medarbejderens rettigheder og skade jeres sag.
Når kontoen står i en medarbejders navn, men indeholder virksomhedens data, er det en særlig situation. → Cloudkontoen står i en medarbejders navn
Når tjenesten er virksomhedens, men ingen har adgang
En særlig situation opstår, når en tjeneste er betalt af virksomheden, men administreret af én medarbejder, som nu er stoppet. Det kan være en projektapp, et marketingværktøj, en webshop-platform eller et kundesystem. Virksomheden ejer data, men ingen andre har et login.
Gør dette:
- Find dokumentation for, at virksomheden har betalt. Fakturaer og kontoudtog viser, at aftalen er virksomhedens.
- Kontakt leverandøren med dokumentationen, og bed om at få overført administratoradgangen. Mange leverandører har en procedure for det.
- Bed om en eksport af data og aktivitetslog, før der ændres noget. Notér, hvordan den blev lavet.
- Skift adgangskoder og fjern den fratrådtes adgang, når I har overtaget, og notér tidspunktet.
Hvis medarbejderen nægter at medvirke, eller hvis der er konflikt, så tal med jeres advokat, før I går videre. → Den gamle IT-mand er stoppet og har alle adgangskoderne
Forebyg: få overblik nu
- ☐ Lav en liste over godkendte tjenester, og gør den kendt.
- ☐ Gør det let at få en ny tjeneste godkendt, så medarbejderne ikke går uden om.
- ☐ Gennemgå firmakort og udlæg for abonnementer en gang om året.
- ☐ Begræns, hvilke tredjepartsapps medarbejderne selv kan give adgang til deres konto.
- ☐ Skriv i jeres IT-politik, at arbejdsdata kun må ligge i godkendte tjenester.
- ☐ Spørg ved fratrædelse, hvilke tjenester medarbejderen har brugt, og få adgang overdraget.
Hvem gør hvad
- Leder · Spørger kolleger og afdeling om værktøjer
- Økonomi · Finder betalinger til tjenester
- IT · Tjekker apps, logs og godkendte tjenester
- HR · Tager tjenester med i fratrædelsestjeklisten
- Advokat · Rådgiver om adgang til tjenester, der ikke er jeres
Det skal I lade være med
- At logge ind på private konti med adgangskoder, I finder på computeren.
- At fjerne tredjepartsapps, før de er noteret.
- At skælde ud på hele afdelingen. Skygge-IT er typisk et tegn på, at de officielle værktøjer ikke passer til arbejdet. Brug det som anledning til at forbedre dem.
- At overse det, når en medarbejder stopper. Data i ukendte tjenester følger ikke med i offboarding.
Hvornår skal I have hjælp udefra
Få en IT-sagkyndig ind, når der er mistanke om, at fortrolige data ligger i ukendte tjenester i forbindelse med en fratrædelse eller en tvist. En sagkyndig kan sikre computer og logs og dokumentere, hvilke tjenester der har været i brug, uden at krydse grænsen til medarbejderens private konti.
Læs også: Forsvindende beskeder og autosletning: forbyd det i arbejdet · WeTransfer og filoverførsler: kan man se, hvad der blev sendt?
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
