Shadow IT: o que é, riscos e como descobrir na empresa

A cobrança aparece na fatura do cartão corporativo com um nome que ninguém do financeiro reconhece. É uma ferramenta de assinatura eletrônica, plano mensal, contratada pelo gerente comercial meses atrás. Ele precisava fechar um contrato numa sexta-feira, o pedido formal à TI levaria duas semanas e o cadastro levou dez minutos.

Quando alguém finalmente olha, a ferramenta guarda os contratos assinados do período, com nome, CPF e endereço de cliente. A conta foi criada com o e-mail pessoal do gerente, e ninguém mais tem a senha.

Esse é um retrato típico de shadow IT. Ninguém agiu de má-fé, e mesmo assim a empresa tem dado de cliente num fornecedor sem contrato, numa conta que ela não controla.

Proibir não acaba com a shadow IT, só a esconde melhor. O controle que funciona é descobrir o que já está em uso e oferecer um caminho aprovado mais rápido que o atalho.

O que é shadow IT e por que ela aparece

O glossário do Gartner define shadow IT como dispositivos, software e serviços de TI que estão fora da posse ou do controle da área de TI. A definição não fala em intenção, e faz bem: na maior parte dos casos, quem adota a ferramenta quer apenas entregar o trabalho.

Antes da nuvem, o exemplo clássico era o servidor ligado embaixo da mesa ou o roteador sem fio trazido de casa. Hoje o exemplo típico de shadow IT é software como serviço. Para começar a usar um SaaS, a pessoa precisa de um e-mail e, às vezes, de um cartão. Não existe instalação para a TI bloquear, e o app roda no mesmo navegador que todo mundo usa o dia inteiro.

A causa quase sempre é tempo. A área tem um problema para esta semana, e o processo de aprovação foi desenhado para compras grandes: formulário, avaliação de segurança, cotação, contrato. O custo de esperar recai sobre a área, e o risco do atalho recai sobre a empresa inteira. Com essa conta, o atalho vence.

Em empresa pequena a situação é mais simples e mais frágil. Muitas vezes não existe TI para pedir aprovação, e cada pessoa decide sozinha o que usa.

Os riscos reais, sem exagero

O primeiro risco é contratual. Quem assina um plano gratuito aceita os termos de uso padrão do fornecedor. Ninguém negociou confidencialidade, prazo de retenção ou o que acontece com o dado no fim da assinatura. A informação da empresa passa a viver sob regras que ninguém da empresa leu.

Depois vem a conta. Ferramenta criada com e-mail pessoal pertence à pessoa, e quando ela sai da empresa o acesso sai junto. O desligamento revoga o e-mail corporativo e o login da rede, mas não alcança a shadow IT, que a TI desconhece. Um ex-funcionário pode seguir com acesso a contratos, listas de clientes ou planilhas de preço por meses.

A identidade é outro ponto fraco. App que não passa pelo SSO não herda a política de senha, não exige MFA e não aparece em relatório de acesso. Se a senha reaproveitada vazar em outro serviço, ninguém vai notar a entrada. O motivo de centralizar o login está em IAM e SSO.

Há ainda a questão legal. Na Lei Geral de Proteção de Dados, o operador é quem trata dado pessoal em nome do controlador (art. 5º, VII). O art. 39 manda o operador seguir as instruções do controlador, e o art. 37 pede que os dois mantenham registro das operações de tratamento. Uma ferramenta de shadow IT com CPF de cliente é um operador sem instrução, sem contrato e sem registro.

Por último, o custo. Três áreas pagam três ferramentas que fazem a mesma coisa, cada uma no cartão de um gestor, e ninguém soma.

Tipos de shadow IT e como achar cada um

Cada tipo de shadow IT deixa um rastro diferente, e é por isso que a descoberta usa várias fontes.

A última linha merece atenção porque é a menos visível. Quando alguém clica em "permitir" numa tela de consentimento, o app recebe um token que continua válido depois que a pessoa fecha a aba. Trocar a senha nem sempre derruba esse acesso. Só a revogação no painel de administração resolve.

Inventário de shadow IT em uma semana

O NIST Cybersecurity Framework 2.0, publicado em fevereiro de 2024, pede na subcategoria ID.AM-02 que a organização mantenha inventário de software, serviços e sistemas. O primeiro levantamento cabe numa semana e usa fontes que a empresa já tem.

1. Segunda: fatura. Peça ao financeiro os lançamentos do cartão corporativo e os reembolsos dos últimos doze meses. Filtre por assinatura recorrente e anote o nome, o valor e quem pagou.
2. Terça: DNS e firewall. Exporte os domínios mais acessados no período. Separe os que pertencem a serviços de nuvem e descarte os conhecidos, como o provedor de e-mail e o ERP.
3. Quarta: OAuth. No painel de administração do provedor de e-mail, abra a lista de apps de terceiros com acesso às contas. Anote o escopo de cada um: ler e-mail, ler agenda, acessar arquivos.
4. Quinta: SSO e compartilhamento. Cruze a lista com o relatório de login do SSO para separar o que já passa pela identidade corporativa. Gere também o relatório de arquivos compartilhados por link público.
5. Sexta: conversa com as áreas. Pergunte a cada gestor quais ferramentas a equipe usa e para quê. O tom decide a resposta: quem se sente auditado esconde, e quem percebe que a TI quer ajudar conta até o que você não perguntou.
6. Fim da semana: planilha única. Junte tudo com uma linha por app: área, dono, tipo de dado guardado, se tem login pelo SSO e decisão (aprovar, migrar ou desligar).

O resultado não precisa ser perfeito. Uma lista com os apps mais usados e o dado que cada um guarda já permite priorizar. Ferramenta com dado pessoal de cliente vem primeiro, e o critério para decidir o que é sensível vem da classificação de dados.

Depois da descoberta: catálogo e prazo curto

Descobrir sem mudar o processo só gera uma segunda lista daqui a seis meses. A shadow IT volta pelo mesmo motivo de antes, a menos que o caminho aprovado fique mais rápido.

Comece por um catálogo de apps aprovados, publicado onde a equipe procura: o que a empresa já paga, para que serve cada ferramenta e como pedir acesso. Muita shadow IT nasce porque a pessoa não sabia que a empresa já tinha uma ferramenta que fazia aquilo.

Em seguida, crie um pedido de ferramenta nova com prazo curto e conhecido. Uma avaliação leve em poucos dias (quem é o fornecedor, onde guarda o dado, se aceita login pelo SSO) cobre a maior parte dos casos. A avaliação completa fica para o que guarda dado sensível.

Por fim, mantenha a revisão periódica. Repita o inventário de shadow IT a cada trimestre e revogue os acessos OAuth que ninguém justificou. No desligamento de um funcionário, inclua na lista de tarefas os apps em que ele era o dono da conta.

Chega um ponto em que o levantamento manual de shadow IT não acompanha. Isso acontece quando os apps se contam às centenas ou quando a empresa precisa aplicar regra por sessão, como bloquear upload de arquivo para app não aprovado. Aí entra um CASB, que faz de forma contínua a descoberta que a semana de inventário faz uma vez, explicado em CASB: o que é e como protege os apps na nuvem.

Shadow AI, o caso com nome próprio

A IA usada por conta própria é um tipo de shadow IT que ganhou nome próprio, Shadow AI. As perguntas sobre conta, dado e configuração estão em Shadow AI e dados da empresa no ChatGPT, e não vou repeti-las aqui.

Do ponto de vista do inventário, a IA aparece em dois lugares que a semana acima já cobre. O primeiro é a lista de OAuth: assistentes que resumem e-mail ou organizam agenda pedem acesso amplo à conta, e esse acesso fica ativo até alguém revogar. O segundo são as extensões de navegador com IA, que leem o conteúdo das páginas abertas, inclusive as do sistema interno.

Há ainda um caso que nenhuma fatura mostra: o recurso de IA que o fornecedor liga dentro de um app já aprovado. O app continua o mesmo e o contrato continua o mesmo, mas agora o conteúdo pode seguir para um processamento novo. A revisão trimestral precisa incluir a pergunta "o que mudou nos apps que já aprovamos". A inspeção do que a equipe cola em ferramentas de IA é tarefa de DLP, assunto de o que é DLP.

O ponto que fica

Quase toda empresa com e-mail e cartão corporativo tem shadow IT. A semana de inventário serve para a lista aparecer antes que um incidente revele cada item.

O inventário começa por fontes que já existem e não custam nada: a fatura do cartão, o log de DNS, o painel de OAuth e o relatório do SSO. A mudança de processo é o que impede a lista de crescer de novo. No exemplo do começo, a correção cabe numa tarde: migrar os contratos para a conta corporativa, ligar o login pelo SSO e incluir a ferramenta no catálogo.