Shadow IT. The data you don't know you have. Shadow IT. De data waarvan je niet weet dat je ze hebt.

It starts with a good intention. Sales needs a better way to track leads, marketing wants a slicker survey tool, finance finds a handy app for expense receipts. Someone signs up with the corporate credit card, invites the team, and uploads the customer list to get started. It works. Nobody asks IT, because asking IT is slow, and nobody reads the terms, because nobody ever does. The company now stores customer data with a supplier it has no contract with, in a country it did not choose, behind a password it does not control.

Business impact: under GDPR we are responsible for that data regardless of who clicked. There is no processing agreement, no security review, and no answer for the customer who asks where their data lives. If the tool is breached, we learn about it from the news, not from the supplier. And when the tool is later banned, the data does not come back by itself.

Het begint met een goede bedoeling. Sales wil leads beter bijhouden, marketing wil een mooiere enquêtetool, finance vindt een handige app voor bonnetjes. Iemand meldt zich aan met de zakelijke creditcard, nodigt het team uit en uploadt de klantenlijst om te beginnen. Het werkt. Niemand vraagt het aan IT, want IT vragen duurt lang, en niemand leest de voorwaarden, want dat doet nooit iemand. Het bedrijf bewaart nu klantgegevens bij een leverancier zonder contract, in een land dat het niet heeft gekozen, achter een wachtwoord dat het niet beheert.

Bedrijfsimpact: onder de AVG zijn wij verantwoordelijk voor die data, wie er ook heeft geklikt. Er is geen verwerkersovereenkomst, geen beveiligingstoets, en geen antwoord voor de klant die vraagt waar zijn gegevens staan. Wordt de tool gehackt, dan horen we het uit het nieuws, niet van de leverancier. En als de tool later wordt verboden, komt de data niet vanzelf terug.

The board deck is finished on a home laptop late at night. A contract is forwarded to a personal mailbox to read on the train. The team chat runs in a free consumer messaging app because it was faster than waiting for the corporate one. None of this is malicious. All of it moves company data to places where our security does not exist: no second factor on the login, no encryption we control, no backup, no way to wipe the device if it is lost, no record of who opened what.

Business impact: when that person leaves, the data leaves with them — not out of malice, but because nobody can revoke access to an account we never owned. A lost personal phone with three years of company chat on it is a breach we must report but cannot investigate. And in a legal dispute, evidence sitting in a private mailbox is evidence we cannot produce.

De bestuurspresentatie wordt 's avonds laat afgemaakt op de laptop van thuis. Een contract gaat door naar een privémailbox om in de trein te lezen. De teamchat draait in een gratis consumentenapp, omdat dat sneller ging dan wachten op de zakelijke variant. Niets hiervan is kwaadwillend. Alles ervan verplaatst bedrijfsdata naar plekken waar onze beveiliging niet bestaat: geen tweede factor op de inlog, geen versleuteling die wij beheren, geen back-up, geen mogelijkheid het apparaat te wissen als het kwijtraakt, geen logboek van wie wat heeft geopend.

Bedrijfsimpact: vertrekt die persoon, dan vertrekt de data mee — niet uit kwade wil, maar omdat niemand de toegang kan intrekken tot een account dat nooit van ons was. Een verloren privételefoon met drie jaar bedrijfschat erop is een datalek dat we moeten melden maar niet kunnen onderzoeken. En in een juridisch geschil is bewijs in een privémailbox bewijs dat wij niet kunnen leveren.

Tools accumulate. The pilot that never became a project, the tool the previous marketing lead loved, the survey platform used once for the employee engagement study. Each still holds the data that was uploaded, still bills the card every month, and still has an administrator — often someone who left the company two years ago, with a personal email address as the recovery contact. Nobody owns it, so nobody cancels it, secures it or empties it.

Business impact: every forgotten tool is a copy of company data that no retention policy touches and no breach plan covers. Under GDPR, data we no longer need is data we must delete; “we forgot it was there” is not a defence. The money is the smaller problem, although finance is usually surprised by the total. The larger problem is a former employee who can still log in.

Tools stapelen zich op. De pilot die nooit een project werd, de tool waar de vorige marketingmanager dol op was, het enquêteplatform dat één keer is gebruikt voor het medewerkersonderzoek. Elk bewaart nog de data die erin is gezet, schrijft nog elke maand af van de kaart en heeft nog een beheerder — vaak iemand die twee jaar geleden is vertrokken, met een privé-e-mailadres als herstelcontact. Niemand is eigenaar, dus niemand zegt het op, beveiligt het of maakt het leeg.

Bedrijfsimpact: elke vergeten tool is een kopie van bedrijfsdata waar geen bewaartermijn op werkt en geen incidentplan voor bestaat. Onder de AVG moeten data die we niet meer nodig hebben worden gewist; “we waren vergeten dat het er stond” is geen verweer. Het geld is het kleinere probleem, hoewel finance meestal schrikt van het totaal. Het grotere probleem is een oud-medewerker die nog kan inloggen.

“Sign in with your work account” is convenient. A scheduling assistant asks for permission to read the calendar — and, in the same dialog, to read all mail and all files. The employee clicks Allow, because that is what the button says. From that moment the app holds a key that works without the password, survives a password change, is not stopped by the second factor, and keeps working long after the employee has forgotten the app exists. If the app's maker is careless or malicious, so is that access.

Business impact: this is how attackers reach a mailbox without ever stealing a password: they build or buy a plausible app and let our own staff grant them access. It is also how a well-meaning but sloppy start-up ends up with a copy of the board's correspondence. These grants are invisible to the people they affect and to most IT departments — unless someone deliberately switches on the review of who consented to what.

“Inloggen met je werkaccount” is handig. Een planningsassistent vraagt toestemming om de agenda te lezen — en, in hetzelfde venster, om alle mail en alle bestanden te lezen. De medewerker klikt op Toestaan, want dat staat er op de knop. Vanaf dat moment heeft de app een sleutel die zonder wachtwoord werkt, een wachtwoordwijziging overleeft, niet wordt gestopt door de tweede factor, en blijft werken lang nadat de medewerker is vergeten dat de app bestaat. Is de maker van de app onzorgvuldig of kwaadwillend, dan is die toegang dat ook.

Bedrijfsimpact: zo bereiken aanvallers een mailbox zonder ooit een wachtwoord te stelen: ze bouwen of kopen een geloofwaardige app en laten onze eigen mensen toegang geven. Zo krijgt ook een goedbedoelende maar slordige start-up een kopie van de correspondentie van het bestuur. Deze toestemmingen zijn onzichtbaar voor de mensen die het raakt en voor de meeste IT-afdelingen — tenzij iemand bewust de controle inschakelt op wie waarvoor toestemming gaf.