O que entra na conta
Shadow IT é qualquer serviço, aplicação ou infraestrutura em uso na organização sem passar pelo processo formal de aprovação. Um repositório em nuvem aberto por um time de produto, um ambiente de homologação publicado por uma agência, uma ferramenta de automação contratada no cartão corporativo de um gerente.
A palavra sombra sugere ocultação deliberada. Na maioria dos casos não há nada disso.
Por que aparece
Shadow IT é sintoma, e o sintoma aponta para o processo de aprovação.
Quando pedir um ambiente leva três semanas e a entrega vence na sexta, alguém sobe o ambiente por fora. Quando a ferramenta homologada não faz o que o time precisa, o time assina outra. Quando a agência precisa publicar uma campanha e ninguém do lado do cliente responde a tempo, ela publica no domínio dela.
Nenhuma dessas decisões é má-fé. São pessoas resolvendo o trabalho delas com o atrito que encontraram pela frente. Tratar shadow IT como problema de disciplina produz política nova e nenhum resultado, porque não toca a causa.
Por que ele é problema de segurança
Não pelo serviço em si, que às vezes é mais seguro que o homologado. O problema é que ele fica fora de tudo que existe para protegê-lo.
Não entra no inventário, então não entra na varredura de vulnerabilidade. Não entra no ciclo de patch. Não tem dono registrado, então quando algo aparece ninguém sabe a quem escalar. Não aparece no relatório trimestral, e a diretoria decide sobre um retrato que não inclui aquela parte.
E ele envelhece. O ambiente subiu para uma demonstração de 2023, a demonstração acabou, o ambiente continua respondendo com a versão da biblioteca daquela época.
Onde ele fica visível
De fora. É essa a característica que torna o assunto tratável.
Um ativo em shadow IT é invisível para o inventário interno por definição, já que nunca foi registrado nele. Mas se ele responde na internet, ele responde para qualquer um, inclusive para quem está olhando de fora com a mesma perspectiva do adversário.
Por isso a descoberta a partir do domínio raiz encontra o que a planilha não tem. O ponto de partida importa mais que a ferramenta: quem parte da lista oficial confirma a lista oficial.
O que fazer com o que aparece
A tentação é bloquear. Funciona mal, porque o atrito que gerou o shadow IT continua lá e ele reaparece com outro nome.
O caminho que converge tem três movimentos. Primeiro, atribuir dono ao que foi encontrado, porque ativo sem dono não vira decisão. Segundo, separar o que pode simplesmente sair do ar do que precisa ser absorvido pelo processo formal. Terceiro, olhar o padrão: se a mesma área produz shadow IT toda vez, o problema está no processo que atende aquela área.
Medir também ajuda mais do que proibir. A diferença entre o inventário oficial e o que a descoberta externa encontra é o tamanho real do fenômeno, e é um número que a diretoria entende sem tradução.