Shadow IT opruimen zonder revolutie

De marketeer betaalt Canva Pro privé. Sales heeft een eigen LinkedIn-scraper. Dev gebruikt ChatGPT Team via privé-mail. Dat is shadow IT — en het is bijna nooit kwaadwillend.

Shadow IT is tools die in gebruik zijn binnen het bedrijf zonder dat IT of management er weet van hebben. In het MKB is het de regel, niet de uitzondering — en meestal niet kwaadwillend. Mensen willen hun werk doen, de officiële tool kan niet of is te langzaam, er is een alternatief voor €15/maand, ze klikken op "abonneren".

De schade

• Data lekt. Klant-data die in een privé-account staat is niet onder bedrijfs-beheer, overleeft offboarding niet, kan niet worden geëxporteerd of gewist.
• Geen MFA, geen password-policy. Accounts die buiten SSO vallen zijn het meest kwetsbaar.
• Dubbele kosten. Je betaalt al voor HubSpot maar sales gebruikt Pipedrive. Nu betaal je voor beide.
• Bij audit of incident ken je de scope niet. "Welke systemen hebben klant-X data?" → geen antwoord.

Opruimen zonder confrontatie

Shadow IT is bijna altijd een signaal dat je officiële stack iets niet biedt. Ga dus niet meteen verbieden — begrijp eerst waarom het is ontstaan.

1. Amnestie-ronde. "We gaan inventariseren. Geen straf, iedereen krijgt 2 weken om zijn tools te melden."
2. Maak een SaaS-inventaris. Zie stappenplan.
3. Per tool beslis: formaliseren (upgrade naar team-abonnement + SSO), vervangen (door iets in je bestaande stack), of accepteren als exception.
4. Biedt alternatieven aan. Als je Canva Pro ontmoedigt, zorg dan dat er een werkbaar alternatief is. Mensen kiezen tools voor een reden.
5. Maak aanvragen makkelijk. Ik wil een nieuwe SaaS → formulier → binnen 3 werkdagen antwoord. Zo voorkom je dat shadow IT weer groeit.

Tooling voor detectie

Zero-trust gateways (Cloudflare Access, Zscaler) laten zien welke domeinen worden bezocht. Voor het MKB is dat vaak overkill — een kwartaalenquête werkt ook. Zie SaaS-inventaris voor de praktische aanpak.