Skygge-IT
Programmer, cloudtjenester og udstyr, som medarbejdere tager i brug til arbejdet uden om virksomhedens aftalte IT – og uden at nogen har overblik.
Kort svar
Skygge-IT er de programmer, cloudtjenester, AI-værktøjer og enheder, som medarbejdere bruger i arbejdet, uden at de er godkendt eller kendt af virksomheden – fx en gratis fildelingstjeneste, et privat AI-værktøj eller en egen router. Det opstår næsten altid, fordi folk vil løse en opgave. Problemet er, at data og adgange havner steder, I ikke kan beskytte, tage backup af eller lukke, når medarbejderen stopper.
Hvorfor skygge-IT opstår
Det er sjældent ond vilje. En medarbejder skal sende en stor fil til en kunde, og den godkendte løsning er besværlig. En afdeling opretter et gratis projektværktøj, fordi det går hurtigere end at spørge. Nogen bruger en privat AI-tjeneste til at skrive et tilbud. Hver for sig er det små beslutninger – tilsammen betyder det, at virksomhedens data ligger mange steder, som ingen har overblik over.
Risiciene
- Data uden for kontrol: Kunde- og persondata i tjenester uden databehandleraftale kan være et problem efter GDPR.
- Ingen backup: Når en gratis konto lukkes, eller medarbejderen stopper, forsvinder data.
- Svage logins: Private konti har ofte ingen MFA og deler adgangskode med andre tjenester.
- Glemte adgange: Ved offboarding lukker I kun de konti, I kender til.
- Ukendt udstyr: En privat router eller et kamera på netværket kan åbne for adgang udefra.
Eksempel: En projektleder deler tegninger med en underleverandør via en privat fildelingskonto. Halvandet år efter fratræder hun. Linkene virker stadig, og ingen i virksomheden kender til kontoen.
Sådan får I overblik
Microsoft Defender for Cloud Apps kan ifølge Microsoft analysere trafiklogs fra firewalls og proxyer eller data fra Microsoft Defender for Endpoint og sammenholde dem med et katalog over mere end 31.000 cloudapps, som hver vurderes på over 90 risikofaktorer. Det giver et billede af, hvilke tjenester der faktisk bruges. Mindre virksomheder kan også komme langt med enklere midler:
- Spørg medarbejderne, hvilke værktøjer de bruger – og hvorfor.
- Se i Microsoft Entra ID, hvilke apps medarbejderne har givet adgang til deres arbejdskonto.
- Gennemgå kreditkortudtog for små abonnementer.
- Tjek, hvilke enheder der er på netværket.
Forbud alene virker sjældent
Hvis den godkendte måde er for besværlig, finder folk en anden vej. Det mest effektive er at kombinere tre ting: en klar regel i IT-politikken om, hvem der godkender nye tjenester; et godt alternativ (fx deling via OneDrive eller SharePoint); og tekniske begrænsninger, hvor risikoen er størst – fx at brugere ikke selv kan give tredjepartsapps adgang til virksomhedens data.
Vores vurdering: Behandl et fund af skygge-IT som et signal om et behov, ikke kun som en overtrædelse. Ofte er løsningen at godkende og sikre værktøjet.
Skygge-IT og BYOD
BYOD handler om enheder, medarbejderne selv ejer, og som virksomheden har valgt at tillade på bestemte vilkår. Skygge-IT er det, der bruges uden aftale – det kan være både tjenester og enheder. En BYOD-ordning med klare regler er derfor en måde at mindske skygge-IT på.
Spørgsmål I kan stille
- Hvilke cloudtjenester og AI-værktøjer bruger medarbejderne faktisk?
- Kan brugere selv give eksterne apps adgang til virksomhedens Microsoft 365?
- Hvem godkender nye værktøjer, og hvor hurtigt kan det ske?
- Ville vi opdage det, hvis kundedata lå i en privat cloudkonto?
Hvornår giver det mening at få hjælp?
Det giver mening at få hjælp, når I vil kortlægge, hvilke tjenester der bruges, eller lukke for at medarbejdere selv kan koble apps på Microsoft 365. Det er typisk en del af en sikkerhedsgennemgang – se IT-sikkerhedstjek.
Spørgsmål og svar
Er brug af en gratis AI-tjeneste skygge-IT?
Ja, hvis den bruges til arbejdsopgaver uden at være godkendt. Risikoen afhænger af, hvad der indtastes. En AI-politik gør det klart, hvilke værktøjer og data der er i orden.
Forbehold: Teksten er en generel forklaring og ikke juridisk rådgivning om GDPR.
Kilder (tjekket 31. oktober 2026)