Shadow IT, Bahaya Aplikasi Liar yang Dipakai Karyawan
Shadow IT adalah aplikasi yang dipakai karyawan tanpa sepengetahuan perusahaan. Kenali risikonya, cara menemukannya, dan cara mengelolanya.
Jawaban singkat
Shadow IT adalah pemakaian aplikasi, akun, atau perangkat untuk kerja tanpa sepengetahuan pengelola bisnis, termasuk alat AI. Risikonya data bocor dan akses tak terkendali. Atasi dengan daftar aplikasi resmi, jalur pengajuan cepat, dan aturan data yang jelas.
Daftar isi
Shadow IT adalah aplikasi, layanan cloud, akun, atau perangkat yang dipakai untuk pekerjaan tanpa persetujuan atau sepengetahuan pemilik bisnis maupun pengelola IT. Contohnya sangat sehari-hari: file klien dibagikan lewat akun cloud pribadi, laporan penjualan diolah di situs konversi PDF gratis, atau draf kontrak ditempel ke chatbot AI akun pribadi.
Kenapa ini penting? Karena data perusahaan berpindah ke tempat yang tidak kamu kendalikan dan tidak kamu ketahui. Saat karyawan keluar, akun pribadinya ikut pergi bersama datanya. Saat layanan itu bocor, kamu bahkan tidak tahu bahwa datamu ada di sana. Hampir semua shadow IT lahir dari niat baik, yaitu ingin bekerja lebih cepat, sehingga solusinya bukan sekadar melarang.
Contoh shadow IT yang paling sering ditemui
- Penyimpanan dan berbagi file pribadi. Akun cloud gratis, flashdisk, atau layanan kirim file besar untuk dokumen kantor.
- Chat dan grup pribadi. Grup chat berisi data pelanggan, foto KTP, atau bukti transfer di akun pribadi karyawan.
- Alat AI tanpa aturan. Chatbot, perangkum dokumen, atau ekstensi browser AI yang diberi data internal. Fenomena ini sering disebut shadow AI.
- Situs alat gratis. Konversi PDF, kompres gambar, pembuat QR, atau pembaca file yang meminta unggahan dokumen.
- Ekstensi browser. Ekstensi yang meminta izin membaca dan mengubah semua data di situs yang dikunjungi.
- Aplikasi kerja berlangganan sendiri. Alat desain, manajemen proyek, atau CRM yang dibayar dari kantong karyawan lalu diklaim, tanpa akun atas nama perusahaan.
- Integrasi otomatis. Akun pribadi yang dihubungkan ke email atau spreadsheet kantor lewat layanan otomasi.
Apa saja risikonya bagi bisnis?
Risiko utamanya bisa dikelompokkan seperti ini:
| Risiko | Contoh kejadian | Dampaknya |
|---|---|---|
| Data keluar kendali | File pelanggan di akun cloud pribadi | Tidak bisa ditarik saat karyawan keluar |
| Kebocoran lewat layanan pihak ketiga | Dokumen diunggah ke situs konversi gratis | Data berada di server yang tidak kamu kenal |
| Data dipakai di luar tujuan | Data internal ditempel ke AI akun gratis | Bergantung pada kebijakan data layanan dan pengaturan akun |
| Akses tidak tercatat | Ekstensi atau integrasi dengan izin luas | Tidak ada yang tahu siapa bisa membaca apa |
| Kepatuhan | Data pribadi pelanggan diproses di tempat tidak resmi | Menyulitkan pemenuhan kewajiban UU PDP |
| Ketergantungan | Proses penting berjalan di akun pribadi satu orang | Operasional berhenti saat orang itu pergi |
Poin terakhir sering baru disadari belakangan. Bila laporan mingguan, daftar pelanggan, atau otomasi pesanan hanya ada di akun pribadi seorang staf, bisnis sebenarnya sedang bergantung pada satu orang tanpa sadar.
Untuk alat AI, risikonya perlu dipahami secara spesifik. Pengaturan pemakaian data untuk pelatihan model berbeda antara paket gratis, paket berbayar perorangan, dan paket bisnis, serta bisa berubah. Pembahasan lengkapnya ada di panduan risiko AI dan kaitannya dengan aturan data pribadi di UU PDP dan pemakaian AI.
Kenapa karyawan memakai aplikasi liar?
Jawaban jujurnya: karena alat resmi tidak ada, terlalu lambat didapat, atau kalah praktis. Karyawan yang memakai situs konversi PDF gratis biasanya bukan sedang melanggar aturan dengan sengaja. Dia hanya butuh menyelesaikan pekerjaan sore itu, dan tidak ada alternatif yang disediakan.
Inilah sebabnya larangan total jarang berhasil. Aplikasi liar tidak hilang, hanya makin tersembunyi. Pendekatan yang lebih efektif adalah membuat jalur resmi lebih mudah daripada jalur liar.
Bagaimana menemukan shadow IT di kantormu?
Untuk bisnis kecil, cara paling sederhana justru yang paling efektif: tanyakan. Buat survei singkat tanpa nada menghakimi, misalnya "Aplikasi dan situs apa saja yang kamu pakai untuk bekerja, termasuk yang gratis?". Karyawan biasanya terbuka bila tahu tujuannya mencari alat yang lebih baik, bukan mencari kesalahan.
Lengkapi dengan beberapa pemeriksaan:
- Lihat daftar aplikasi pihak ketiga yang terhubung ke akun email kantor di panel admin Google Workspace atau Microsoft 365.
- Periksa tagihan dan klaim penggantian biaya untuk langganan perangkat lunak.
- Cek ekstensi yang terpasang di browser laptop kantor.
- Bila punya firewall atau DNS filter, lihat domain layanan cloud yang paling sering diakses.
Cara mengelolanya tanpa mematikan produktivitas
Langkah-langkah yang biasanya paling berpengaruh:
- Sediakan alat resmi untuk kebutuhan umum. Penyimpanan cloud perusahaan, pengolah PDF, alat desain, dan alat AI dengan akun atas nama bisnis. Bila kebutuhannya terpenuhi, alasan memakai alat liar berkurang drastis.
- Buat daftar aplikasi resmi. Tulis aplikasi apa yang boleh dipakai untuk apa. Perbarui setiap kali ada alat baru yang disetujui.
- Buat jalur pengajuan yang cepat. Karyawan yang menemukan alat bagus cukup mengajukannya ke satu orang, dan keputusannya keluar dalam hitungan hari, bukan bulan.
- Tentukan klasifikasi data sederhana. Misalnya tiga tingkat: publik, internal, dan rahasia. Data rahasia (data pribadi pelanggan, keuangan, kontrak) hanya boleh diproses di aplikasi resmi.
- Wajibkan akun atas nama perusahaan. Setiap layanan yang dipakai untuk kerja dibuat dengan email kantor, sehingga bisa diambil alih saat karyawan keluar. Password akun bersama disimpan di password manager tim.
- Tinjau secara berkala. Ulangi survei dan pemeriksaan beberapa bulan sekali, dan cabut aplikasi yang sudah tidak dipakai.
Masukkan semua aturan ini ke dalam kebijakan keamanan IT sederhana agar berlaku sama untuk semua orang, termasuk pemilik.
Pertanyaan yang sering diajukan
Apakah shadow IT selalu buruk?
Tidak. Shadow IT sering menunjukkan kebutuhan nyata yang belum terpenuhi. Banyak alat yang awalnya liar akhirnya menjadi alat resmi setelah dievaluasi. Masalahnya ada pada data dan akses yang tidak terkendali, bukan pada inisiatif karyawannya.
Bagaimana dengan karyawan yang memakai HP atau laptop pribadi untuk kerja?
Itu juga bentuk shadow IT bila tidak diatur. Tentukan syarat minimal, misalnya kunci layar, sistem yang masih mendapat update, dan aplikasi kerja yang bisa dikeluarkan dari perangkat saat karyawan berhenti.
Perlukah memblokir semua situs AI?
Biasanya tidak efektif, karena karyawan akan beralih ke HP pribadi. Lebih baik sediakan alat AI resmi dengan akun bisnis, lalu atur jenis data apa yang boleh dan tidak boleh dimasukkan.
