Gölge BT (shadow IT): BT biriminin göremediği teknoloji kullanımı

Gölge BT nedir?

Gölge BT (shadow IT), çalışanların ya da birimlerin BT departmanının bilgisi, onayı ve denetimi dışında kullandığı uygulama, bulut servisi, cihaz ve yazılımlardır. Genellikle kötü niyetten değil, işi hızlandırma isteğinden doğar: resmî araç yavaş, yetersiz ya da yoktur; çalışan da kendi bulduğu çözüme yönelir.

Kavram yalnızca yazılımı değil, cihazları ve altyapıyı da kapsar. Kişisel bir bulut deposu, onaysız bir proje yönetim aracı, birimin kendi bütçesiyle aldığı bir SaaS aboneliği ya da kişisel telefondan yürütülen kurumsal yazışmalar bu kapsamdadır.

Neden ortaya çıkar?

• Resmî süreçler yavaştır: Bir aracın talep, değerlendirme ve satın alma sürecinden geçmesi aylar alabilir; ekip bu sürede kendi çözümünü bulur.
• Resmî araç ihtiyacı karşılamaz: Kullanıcı deneyimi kötü ya da özelliği eksiktir.
• Kolay erişim: Kredi kartıyla bulut aboneliği açmak ya da ücretsiz bir uygulamayı kurmak dakikalar sürer.
• Farkındalık eksikliği: Çalışan, kullandığı aracın kurum için risk oluşturduğunu bilmeyebilir.

Yapay zeka sohbet araçlarına şirket verisi yapıştırmak, son dönemde gölge BT'nin en görünür biçimlerinden biri haline gelmiştir.

Riskleri nelerdir?

Gölge BT'nin temel sorunu, kurumun neye sahip olduğunu bilmemesidir. Bilinmeyen sistem korunamaz. • Veri güvenliği: Kurumsal ya da kişisel veri denetimsiz bir hizmete gidebilir; kişisel veri içeriyorsa KVKK kapsamında yükümlülükler doğar. • Erişim yönetimi: İşten ayrılan çalışanın hesabı, kurumun kapatamadığı bir serviste açık kalabilir. • Yedekleme ve süreklilik: Kritik bir iş kişisel hesapta yürütülüyorsa, hesabın sahibi ayrıldığında ya da hizmet durduğunda veri kaybedilir. • Entegrasyon ve tutarsızlık: Aynı bilginin farklı araçlarda dağınık tutulması, raporları güvenilmez kılar. • Maliyet: Aynı işi gören birden çok abonelik ve kaçak lisans giderleri oluşur. • Uyum: Denetimde envanterde olmayan sistemler açıklanamaz.

Nasıl tespit edilir?

Tespit tek bir araçla değil, birden çok veri kaynağının birleştirilmesiyle yapılır: • Ağ ve güvenlik duvarı kayıtları: Hangi bulut hizmetlerine ne kadar trafik gittiğini gösterir. • Kimlik sağlayıcı (SSO) ve OAuth kayıtları: Çalışanların kurumsal hesapla hangi harici uygulamalara izin verdiğini ortaya çıkarır. • Finans kayıtları: Kurumsal kartla yapılan yazılım abonelikleri ve masraf kalemleri. • Bulut erişim güvenliği araçları (CASB) ve uç nokta yönetimi: Kullanılan uygulamaları otomatik keşfeder. • Çalışan anketleri ve birim görüşmeleri: Teknik kayıtlarda görünmeyen kullanımları yakalar.

Bulgular envantere işlenir; her uygulama için sahibi, kullanılan veri türü ve risk düzeyi kaydedilir.

Örnek senaryo

Örneğin bir satış ekibi, müşteri listelerini takip etmek için kendi aldığı bir CRM aboneliğini kullanıyor. BT bunu ağ kayıtlarındaki alışılmadık trafikten ve bir masraf kaleminden fark ediyor. Doğrudan yasaklamak yerine ekiple görüşülüyor: araç neden seçilmiş, hangi veriler orada duruyor, kurumsal CRM'de eksik olan ne? Sonuçta ya araç risk analizinden geçirilerek resmîleştiriliyor ya da ihtiyaç kurumsal sistemde karşılanıp veriler taşınıyor. Hangi yol seçilirse seçilsin sahibi, erişim kuralları ve yedekleme tanımlanıyor.

Yasaklamak mı, yönetmek mi?

Salt yasaklama genellikle sorunu görünmez hale getirir: çalışan aracı kullanmaya devam eder, ama bu kez saklayarak. Olgun yaklaşım keşif, risk sınıflandırma ve karar adımlarına dayanır. Düşük riskli araçlar onaylanıp listeye alınır, orta riskliler ek önlemlerle izin görür, yüksek riskliler gerekçesiyle kapatılır ve kullanıcıya bir alternatif sunulur.

Kalıcı çözüm; hızlı bir onay süreci, çalışanlara anlaşılır kullanım kuralları ve eğitim, düzenli envanter taraması ve resmî araçların gerçekten işe yarar olmasıdır. Amaç, çalışanın "bunu BT'ye sormak çok zor" diye düşünmemesidir.

Mindset programlarında bu konu

Mindset kataloğundaki Gölge BT'nin Tespiti, Önlenmesi ve Yönetişimi eğitimi gölge BT'nin anatomisi ve risk tablosu, keşif teknikleri ve envanter çıkarma, risk sınıflandırma ve karar atölyesi, resmîleştirme ve tekrarın önlenmesi modüllerinden oluşur.