Shadow IT: por que razão é um problema de adoção, não apenas de segurança

Por que razão o shadow IT é, na verdade, um problema de adoção e de experiência

Se gere as TI de uma organização de média ou grande dimensão, já sabe que tem um problema de shadow IT. As ferramentas de descoberta de SaaS, as auditorias financeiras e as análises pós-incidente continuam a mostrar que as equipas adquirem e utilizam aplicações não autorizadas, muito fora do modelo de governação estabelecido. O que é menos óbvio, mas mais importante, é que o shadow IT não é, antes de mais, uma questão de disciplina. É uma questão de adoção.

Os colaboradores recorrem a ferramentas não aprovadas quando a stack oficial parece demasiado difícil, demasiado lenta ou desalinhada com a forma como trabalham na prática. Uma resposta baseada apenas em reforçar controlos pode reduzir algum risco, mas tende a empurrar as alternativas para a clandestinidade. Para mudar verdadeiramente o cenário, é preciso atacar a causa raiz: o fosso entre aquilo que o portefólio consegue fazer no papel e o que as pessoas conseguem fazer confortavelmente na prática.

Este artigo analisa o shadow IT através do prisma da adoção digital. Destina-se a CIOs, Diretores de TI, Responsáveis pela Transformação e Proprietários de Aplicações que gerem simultaneamente a governação, a proliferação de SaaS e a fadiga de mudança. Exploramos por que razão o shadow IT continua a crescer apesar de melhores ferramentas, como a fraca adoção das plataformas centrais alimenta o problema, e como uma Plataforma de Adoção Digital como a Lemon Learning ajuda a reduzir a sombra tornando os percursos autorizados mais rápidos e seguros do que as alternativas não oficiais.

O shadow IT é um sinal de procura, não apenas uma violação de política

A maioria das definições de shadow IT centra-se no risco: SaaS não autorizado, armazenamento pessoal na nuvem, ferramentas de inteligência artificial não controladas. Esses riscos são reais. As aplicações não geridas amplificam a exposição a fugas de dados, falhas de conformidade e derrapagens de custos. As auditorias mostram consistentemente que muitas organizações utilizam mais aplicações SaaS do que as TI têm conhecimento, com uma longa cauda de ferramentas de utilizador único que nunca foram aprovadas.

Mas o shadow IT raramente é malicioso. É geralmente o resultado de pessoas bem-intencionadas que tentam fazer o seu trabalho quando o percurso oficial não funciona para elas. As equipas de marketing subscrevem ferramentas de campanha porque a plataforma central é demasiado rígida. As equipas de vendas fazem previsões em folhas de cálculo porque a qualidade dos dados no CRM é fraca e os relatórios não refletem a realidade. Os responsáveis de RH controlam alterações no Excel ou em unidades pessoais porque o HRIS parece opaco e pouco tolerante ao erro.

"Se existe shadow IT, significa que não fornecemos as ferramentas certas e que precisamos de avançar tão depressa como os utilizadores, ou mais depressa ainda." Marc Cohen, DSI, INRAP

Por outras palavras, o shadow IT é frequentemente um sintoma de duas situações:

• Uma incompatibilidade entre as plataformas padrão e a forma como as unidades de negócio operam efetivamente.
• Uma fraca adoção dessas plataformas: as pessoas nunca foram além dos acessos básicos para os fluxos de trabalho que realmente importam.

É por isso que as estratégias de "encontrar e bloquear" raramente geram valor duradouro. Pode remover uma ferramenta não aprovada, mas a necessidade não satisfeita que a originou permanece. Outra aplicação surgirá para preencher o vazio, a menos que mude a experiência dentro dos sistemas autorizados. Tratar o shadow IT apenas como um problema de segurança é como tratar uma febre sem tratar a infeção.

Uma perspetiva mais útil é ver o shadow IT como um sinal de procura. Cada aplicação não sancionada diz algo: onde a stack oficial é demasiado difícil de utilizar, onde a formação falhou, onde a governação é demasiado lenta, ou onde a arquitetura tem lacunas funcionais reais. A função do CIO não é simplesmente suprimir esse sinal, mas aprender com ele e depois utilizar os mecanismos de adoção para colmatar a diferença.

Táticas operacionais para reduzir o shadow IT com adoção digital

Assim que aceitar que o shadow IT é fundamentalmente um sinal de procura, a questão passa a ser: como responder sem transformar a organização num estado policial? A resposta é combinar uma melhor governação com uma capacitação muito melhor. Isso significa facilitar a utilização das ferramentas pelas quais já paga, demonstrar que é do interesse das pessoas fazê-lo, e manter ao mesmo tempo limites firmes em torno do risco.

1. Identifique primeiro os pontos críticos

Comece por perceber onde o shadow IT se concentra. Na maioria das empresas, isso inclui colaboração e partilha de ficheiros, análise de dados e SaaS de propósito único que as equipas adotaram porque as plataformas oficiais pareciam demasiado lentas ou difíceis de utilizar. Os dados de descoberta de rede e de SaaS mostram a dimensão do fenómeno.

O valor real, porém, reside nos padrões de comportamento que esses dados revelam: onde os colaboradores estão a ter dificuldades, a contornar fricções, ou a compensar uma experiência negativa nos sistemas sancionados. Combine essa informação com dados internos: quais as ferramentas oficiais que essas equipas deveriam estar a utilizar, e onde se concentram os pedidos de suporte e as reclamações.

2. Trate as ferramentas oficiais como produtos, não como utilitários

Trate as ferramentas oficiais como produtos que gere ativamente, e não como utilitários que simplesmente fornece. Se o marketing está a viver em ferramentas de email não aprovadas, investigue por que razão a stack de marketing sancionada é problemática: é por questões de acesso, de experiência de utilização, de integrações em falta, ou simplesmente de falta de orientação contextual? Se os gestores partilham dados de RH através de drives pessoais, o HRIS está de facto a ajudá-los a completar tarefas de self-service, ou perdem-se e recorrem ao que simplesmente funciona?

É precisamente aqui que uma Plataforma de Adoção Digital como a Lemon Learning demonstra o seu valor. Em vez de mais uma apresentação sobre "por que razão deve utilizar o sistema oficial", sobrepõe ao Salesforce, Workday, Microsoft 365, ao portal de aprovisionamento e a outras ferramentas centrais percursos guiados contextuais, dicas e um painel de conhecimento em self-service. O objetivo é simples: tornar o percurso sancionado mais rápido e mais claro do que a alternativa não oficial.

Por exemplo, a equipa de aprovisionamento pode ver um guia breve ao abrir o novo sistema de compras, explicando em duas frases quando utilizá-lo e acompanhando-a passo a passo num pedido típico. Os responsáveis de RH que realizam avaliações de desempenho no Workday podem ser recebidos por um percurso guiado de 60 a 90 segundos que mostra exatamente como iniciar, completar e arquivar avaliações corretamente, em vez de fazerem circular folhas de cálculo. Os colaboradores que procuram respostas a "como faço X" podem pesquisar num widget de ajuda integrado na aplicação, em vez de abrir um pedido de suporte.

3. Construa um modelo de triagem de governação

Utilize a governação para reduzir, e não alargar, a diferença entre a política e a realidade. Nem todo o shadow IT apresenta o mesmo nível de risco, e parte dele pode ser formalizado na stack existente. Construa um modelo de triagem simples: algumas ferramentas tornam-se candidatas a "adotar e governar", com integração no SSO, revisão de segurança e contratos; outras, claramente redundantes ou inseguras, entram numa lista de bloqueio e substituição, mas apenas após fornecer uma alternativa credível e orientação integrada na aplicação no sistema oficial.

A chave está em alinhar os incentivos. Se desativar uma ferramenta de colaboração muito apreciada sem oferecer um caminho igualmente utilizável no Teams ou na intranet, as pessoas irão simplesmente encontrar a próxima alternativa não oficial. Se, em vez disso, combinar a aplicação das regras com um melhor suporte integrado na aplicação para o percurso oficial, e mostrar às equipas onde o shadow IT está a aumentar o risco ou o custo, a conversa muda de "as TI não nos deixam" para "esta é a forma mais fácil de trabalhar sem problemas".

Com o tempo, o shadow IT torna-se menos atrativo porque a stack oficial é simultaneamente mais capaz e mais agradável de utilizar. Trata-se de trabalho de adoção, não apenas de trabalho de bloqueio, e é claramente da competência do CIO. Para um próximo passo prático, veja como transformar os dados de shadow IT no seu roteiro de adoção SaaS.