…

 

Skygge-it

De værktøjer, IT ikke ved at medarbejderne bruger

IT-afdelingen kender 108 cloud-tjenester. Medarbejderne bruger 975.

Ingen af de 867 andre er valgt for at omgå reglerne. De er valgt, fordi nogen havde en opgave, der skulle løses, og fandt et værktøj der kunne løse den. Som regel gratis og på under et minut.

Problemet er ikke, at værktøjerne findes. Det er, at ansvaret følger med, uden at overblikket gør.

En tjeneste, ingen kender, står ikke i risikovurderingen. Den har ingen databehandleraftale. Den indgår ikke i beredskabet. Og den kan ikke lukkes ned, når medarbejderen holder op.

Seksten sager fra arkivet viser, hvad der ligger i den forskel.

Fælles for dem er, at ingen brød ind. Adgangen blev givet ved en installation, nogen godkendte uden at læse.

Hvorfor det gentager sig

Installationen kræver ingen tilladelse: En browserudvidelse tilføjes med to klik. Den beder om adgang til alt, hvad browseren kan se. De færreste læser, hvad der står.

Behovet er ægte: Medarbejderen skulle oversætte, opsummere, optage eller dele en fil. IT havde ikke et godkendt værktøj til det, eller det tog tre uger at få adgang.

Udvidelsen skifter ejer efter installationen: Et harmløst værktøj bliver købt op eller opdateret, og den nye version har andre hensigter. Adgangen er allerede givet.

Det, der ikke er kendt, kan ikke overvåges: Er tjenesten ikke på nogen liste, indgår den heller ikke i risikovurderingen, i databehandleraftalerne eller i beredskabet.

Udvidelsen havde adgang til alt

Fem sager om browsere, hvor tilladelsen blev givet én gang og gjaldt for altid.

• En udvidelse stjal 8 millioner AI-samtaler: Indholdet af det, medarbejderne skrev, endte hos tredjepart. Ikke adgangskoder, men det de arbejdede med.
• Har I tjekket, hvad medarbejderne kører: Spørgsmålet kan besvares på en eftermiddag og bliver sjældent stillet.
• Ondsindet kode skjult i et ikon: Koi Security dokumenterede en kampagne, der inficerede over 500 udvidelser.
• Fjorten dage senere lå kundedatabasen til salg: Vejen ind var en udvidelse, ingen havde godkendt.
• Browseren ved mere, end I regner med: Den ser hver side, hver formular og hvert indtastet felt. En udvidelse med fuld adgang ser det samme.

AI-værktøjerne kom ind ad samme dør

Fem sager om den nyeste variant. Her er det ikke kun adgangen, der gives væk, men også indholdet.

• En AI-udvidelse fik adgang til jeres drev: EU’s AI-lovgivning har siden februar 2025 gjort organisationer ansvarlige for det, medarbejderne bruger.
• 345 siders vilkår gennemgået: Ni AI-platforme sammenlignet. Kun én træner aldrig på det, I skriver.
• 20 procent af AI-anbefalede pakker findes ikke: 16 modeller testet med 576.000 kodestykker. De opfundne navne kan registreres af andre.
• Angriberne bruger de samme værktøjer: Statsstøttede grupper fra flere lande bruger dem allerede aktivt.
• 975 tjenester i brug, 108 kendt: Forskellen er ikke ulydighed. Det er et overblik, der ikke er blevet vedligeholdt.

Det gratis værktøj havde en pris

Seks sager om det, der følger med, når nogen vælger noget uden om indkøb.

• Gratis til studerende, betalt afhængighed bagefter: 250 millioner gratis brugere er en investering i, hvad de vælger senere.
• Sikkerhedssoftwaren gik fra anbefalet til frarådet: Myndigheden opfordrede i 2024 danske virksomheder til at fravælge et produkt, de tidligere havde anbefalet. Et valg kan blive forkert uden at nogen gør noget forkert.
• PDF-læseren kan være hullet: Værktøjer, der er installeret én gang og aldrig opdateret, står stadig på maskinerne.
• Annoncekoncernen bestemmer, hvad blokeringen må: Værktøjet virker stadig. Det, det må gøre, er ændret.
• Skærmoptagelse uden abonnement: Behovet er reelt og løses hver dag. Det er valget af værktøj, der ikke er truffet af nogen.
• Tre kommuner nede på grund af ét svagt led: Fælles systemer betyder også, at ét ukendt værktøj kan berøre flere organisationer.

Hvorfor det er blevet et juridisk problem

Skygge-it var tidligere et driftsproblem. Nu er det også et ansvarsproblem, og det er sket på under to år.

Databehandleransvaret gælder uanset: Sender en medarbejder kundedata gennem en tjeneste, ingen har godkendt, er I stadig dataansvarlige. Der findes bare ingen databehandleraftale, og det er i sig selv en overtrædelse.

AI-forordningen gør jer ansvarlige for brugen: Siden februar 2025 er organisationer ansvarlige for de AI-værktøjer, medarbejderne anvender. Ikke kun for dem, I har indkøbt.

NIS2 kræver styring af leverandørkæden: En cloud-tjeneste med adgang til jeres data er et led i den kæde, uanset om indkøb har set den.

Det betyder, at kortlægningen ikke længere er en ryddeopgave. Den er grundlaget for at kunne svare, når nogen spørger.

Og spørgsmålet kommer typisk fra en kunde, ikke fra et tilsyn. Kravet om dokumentation vandrer nedad gennem leverandørkæden, længe før nogen myndighed banker på.

Hvad der går galt, når forsvaret bygges

Der udstedes et forbud i stedet for et alternativ: Forbydes værktøjet uden at behovet løses, flytter brugen til den private konto. Så er den også usynlig i logfilerne, og filerne ligger et sted, I aldrig får adgang til.

Listen laves én gang: En kortlægning fra sidste år er forældet. Nye tjenester kommer til hver uge, og de kommer nedefra.

Godkendelsen tager for lang tid: Er ventetiden tre uger, og opgaven skal løses i dag, er skygge-it det rationelle valg for medarbejderen.

Ansvaret følger med alligevel: Databehandleransvar, AI-forordningen og NIS2-leverandørstyring gælder også det, I ikke ved at I bruger.

Kortlægningen er lettere end den lyder

De fleste tror, at et overblik kræver et værktøj og et projekt. Det gør det ikke.

Browserudvidelser kan trækkes centralt fra jeres egen enhedsstyring. Cloud-tjenester kan aflæses i firewallens eller proxyens logfiler, hvor de udgående forbindelser allerede står. Og resten kan man spørge om.

Det er den tredje del, der giver mest. En rundtur i afdelingerne uden konsekvens for svaret finder de tjenester, ingen log fanger, fordi de bruges fra en privat enhed.

Hvad I kan gøre

1. Træk en liste over browserudvidelser på firmamaskinerne: Det kan gøres centralt og tager en eftermiddag. Start der, fordi det er den kanal med færrest spærringer og den største adgang.
2. Spørg afdelingerne, hvad de faktisk bruger: Uden konsekvens for svaret. Formålet er et overblik, ikke en irettesættelse.
3. Godkend tre værktøjer til de opgaver, folk løser udenom: Oversættelse, opsummering, filoverførsel. Et godkendt alternativ fjerner behovet for at gå udenom.
4. Sæt en frist på godkendelser: Kan en anmodning besvares på tre dage, forsvinder det meste af skygge-it af sig selv. Ventetiden er den egentlige årsag.
5. Tag kortlægningen med, næste gang risikovurderingen opdateres: Det, der ikke står på listen, indgår heller ikke i vurderingen.

Hvilken ydelse afdækker det

En teknisk gennemgang kortlægger, hvad der faktisk er installeret og hvilke tjenester der bruges, frem for hvad der står på listen.

Skal medarbejdernes valg indgå, altså hvorfor de går udenom og hvad de har brug for, hører det under awareness-træning.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Anbefalingen bliver derfor ikke et overvågningsværktøj til at opdage skygge-it.

Beslægtede mønstre

Er værktøjet leveret af en tredjepart med adgang til jeres data, behandles det under leverandørangreb. Kan tjenesten ikke levere logdata, er den også en blind vinkel i detektionstiden.

Alle ni mønstre ligger samlet under cybersikkerhed.

Find ud af, hvad der kører hos jer

Ved I, hvilke browserudvidelser der er installeret på jeres maskiner lige nu? Og hvilke af dem der kan læse alt, medarbejderen skriver?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres overblik og finder ud af, om jeg kan hjælpe.