Shadow IT: cos'è, esempi e rischi per l'azienda

Shadow IT è l'insieme di software, servizi SaaS, account cloud e dispositivi che le persone usano per lavoro senza che l'IT li abbia approvati o ne sia al corrente. Non è quasi mai malafede: è un team che ha bisogno di uno strumento e lo attiva da solo. Il rischio sta in ciò che nessuno governa: dati fuori controllo, accessi che non vengono chiusi, fornitori mai valutati.

In italiano si trova anche come IT ombra. Il fenomeno è lo stesso: una parte dell'informatica aziendale vive fuori dall'inventario, e quello che non è nell'inventario non viene aggiornato, monitorato né incluso nella valutazione del rischio.

Cos'è la shadow IT, con esempi concreti

La definizione si capisce meglio al contrario. Le misure di base che ACN ha fissato per i soggetti NIS2 chiedono un inventario aggiornato di servizi, sistemi e applicazioni software approvati da attori interni al soggetto NIS (misura ID.AM-02). Tutto ciò che viene usato ma non rientra in quell'elenco è shadow IT.

In un'azienda mid-market le forme più comuni sono queste:

• SaaS pagati con la carta aziendale o in prova gratuita: gestione progetti, firma elettronica, CRM di reparto, strumenti di design, sondaggi.
• File sharing e posta personali usati per spostare documenti di lavoro, spesso perché l'allegato era troppo pesante.
• Account o sottoscrizioni cloud aperti da un team (AWS, Azure, Google Cloud) per un progetto, un test o un fornitore, e mai collegati all'organizzazione cloud centrale.
• Integrazioni tra applicazioni: un utente autorizza un'app esterna a leggere posta, calendario o drive con il proprio account aziendale, e quell'autorizzazione resta attiva anche quando l'app non serve più.
• Estensioni del browser e software installati sui portatili fuori dal catalogo dell'IT.
• Repository di codice e ambienti di sviluppo su account personali, con chiavi e credenziali dentro.

Quando lo strumento non autorizzato è un servizio di intelligenza artificiale generativa si parla di shadow AI, che ha rischi suoi e merita un discorso a parte, che facciamo nella guida allo shadow AI.

Perché nasce

La shadow IT cresce dove due condizioni si incontrano. La prima: attivare un SaaS o un account cloud richiede una carta di credito e cinque minuti, non un progetto. La seconda: il percorso ufficiale per avere uno strumento nuovo è più lento del bisogno. Chi deve consegnare un lavoro venerdì non aspetta un'approvazione che arriva tra tre settimane.

Per questo vietare e basta funziona poco. Lo strumento non sparisce, diventa solo più difficile da vedere. La domanda utile per l'IT non è chi ha sbagliato, ma quale bisogno non abbiamo coperto.

I rischi della shadow IT

Dati che escono dal perimetro governato

Un contratto clienti caricato su un servizio di condivisione personale, un export del gestionale in un foglio di calcolo online: i dati finiscono dove non ci sono backup aziendali, regole di conservazione né controllo sugli accessi. Se sono dati personali, il problema diventa anche di GDPR. L'articolo 28 del Regolamento (UE) 2016/679 chiede al titolare di ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti e di disciplinare il trattamento con un contratto o altro atto giuridico. Un servizio attivato da un reparto all'insaputa di IT e privacy, di solito, non è passato da nessuna di queste verifiche. Le misure tecniche collegate sono nella scheda sull'articolo 32 del GDPR.

Accessi che sopravvivono alle persone

Quando qualcuno lascia l'azienda, l'IT disattiva gli account che conosce. L'utenza creata su un SaaS con l'indirizzo aziendale ma senza passare dal single sign-on resta attiva, spesso senza autenticazione a più fattori. Lo stesso vale per le chiavi di accesso create in un account cloud di test: nessuno le ruota, perché nessuno sa che esistono.

Configurazioni esposte che nessuno guarda

Un bucket di storage lasciato pubblico, una macchina virtuale di prova raggiungibile da internet, un database con la password di default. Negli ambienti noti questi errori emergono nei controlli periodici. In un account cloud che nessuno ha censito restano aperti finché qualcuno, dall'esterno, li trova. E un vulnerability assessment analizza solo gli asset che gli vengono indicati.

Fornitori mai valutati

Ogni SaaS è un fornitore che tratta dati aziendali. Se entra dalla porta laterale, salta la valutazione di sicurezza, le clausole contrattuali e il piano di uscita. Che i fornitori siano un punto debole lo dicono i dati italiani del rapporto IBM Cost of a Data Breach 2026 (comunicato IBM Italia del 29/07/2026): la compromissione della supply chain è la prima causa di violazione in Italia, nel 18% dei casi.

Costo più alto quando qualcosa va storto

Nello stesso comunicato IBM mette la mancanza di visibilità sul numero e sull'ubicazione delle applicazioni, cioè la shadow IT, tra i fattori che in Italia incidono di più sul costo di una violazione, con un peso di 162.544 euro, su un costo medio di un data breach di 3,55 milioni di euro. Il motivo è intuitivo: durante un incidente si perde tempo a scoprire sistemi di cui nessuno aveva traccia, e tutto ciò che non si conosce non si può isolare né ripristinare.

Continuità e lock-in involontario

Un processo che dipende da uno strumento attivato da una sola persona si ferma quando quella persona cambia lavoro, quando la carta scade o quando il servizio cambia condizioni. Nessuno ha l'export dei dati, nessuno ha le credenziali di amministrazione.

Cosa dicono NIS2 e ISO 27001

Nessuna delle due nomina la shadow IT, ma entrambe chiedono di conoscere quello che si usa.

• D.Lgs. 138/2024, che recepisce la NIS2: tra le misure minime dell'articolo 24, comma 2, ci sono la sicurezza della catena di approvvigionamento (lettera d) e le politiche di controllo dell'accesso e la gestione dei beni e degli assetti (lettera i).
• Misure di base ACN per soggetti importanti ed essenziali: oltre all'inventario del software approvato (ID.AM-02), la misura ID.AM-04 chiede un inventario aggiornato dei servizi informatici erogati dai fornitori, ivi inclusi i servizi cloud, e la GV.SC-04 un inventario dei fornitori con potenziali impatti sulla sicurezza. Un SaaS sconosciuto rende incompleti tutti e tre gli elenchi. Perimetro e scadenze sono nella guida completa alla NIS2.
• ISO/IEC 27001:2022: l'Annex A contiene il controllo 5.9 sull'inventario delle informazioni e degli altri asset associati e il 5.23 sulla sicurezza delle informazioni per l'uso dei servizi cloud, che riguarda il ciclo di vita del servizio dall'acquisizione all'uscita. In audit la shadow IT emerge proprio qui, quando l'inventario dichiarato non coincide con quello che si trova. I controlli sono descritti nella scheda sui requisiti e l'Annex A della ISO 27001.

Come si scopre la shadow IT

Nessuna fonte da sola dà il quadro completo. Si incrociano tracce che l'azienda ha già:

1. Spese. Note spese, carte aziendali e fatture ricorrenti di importo basso: gli abbonamenti SaaS si vedono prima in amministrazione che in IT.
2. Identità. I log del provider di identità e l'elenco delle applicazioni esterne a cui gli utenti hanno dato accesso con l'account aziendale.
3. Rete e posta. Log di DNS, proxy o firewall per i domini SaaS più frequentati, e le email di registrazione o fatturazione che i servizi mandano agli indirizzi aziendali.
4. Endpoint. L'inventario del software installato sui dispositivi gestiti, confrontato con il catalogo approvato.
5. Cloud. L'elenco completo di account, sottoscrizioni e progetti riconducibili all'azienda, e poi l'inventario di cosa gira dentro ciascuno.

L'ultimo punto è quello che sfugge più spesso, perché un account cloud aperto da un team non compare negli strumenti dell'IT finché qualcuno non lo collega. Le piattaforme di cloud security lavorano leggendo le API dei provider. Wiz, per esempio, dichiara di collegarsi tramite le API dei cloud provider e di costruire un inventario dell'ambiente (macchine virtuali, container, serverless, componenti AI) senza agenti. Per l'analisi dei dischi usa snapshot temporanei, analizzati in un ambiente separato. Google ha completato l'acquisizione di Wiz l'11 marzo 2026: il marchio resta, e Google Cloud ha dichiarato che Wiz continua a supportare anche AWS, Microsoft Azure e Oracle. AmagisTech è partner Wiz.

Come si gestisce, senza vietare tutto

1. Fai l'inventario una volta, bene. Incrocia le fonti qui sopra e costruisci un elenco unico: strumento, reparto, responsabile, dati trattati.
2. Classifica per rischio. Un tool di sondaggi senza dati personali e un servizio che contiene l'anagrafica clienti non meritano la stessa attenzione. Parti da dati trattati, numero di utenti e accessi privilegiati.
3. Decidi per ogni voce: si regolarizza (contratto, single sign-on, autenticazione a più fattori, inserimento nell'inventario), si sostituisce con uno strumento già approvato, o si dismette recuperando i dati.
4. Accorcia il percorso ufficiale. Un catalogo di strumenti già approvati e una richiesta che si chiude in pochi giorni riducono la shadow IT più di qualsiasi circolare.
5. Chiudi il cerchio con acquisti e offboarding. Nessun abbonamento software senza un passaggio da IT, nessuna uscita dall'azienda senza la revoca degli accessi ai servizi del reparto.
6. Rendi la ricerca periodica. La shadow IT si riforma: l'inventario va rifatto a intervalli regolari, e nel cloud conviene che sia continuo.

In sintesi

Shadow IT significa software, SaaS e account cloud usati per lavoro senza l'approvazione dell'IT. Nasce da bisogni reali e percorsi di acquisto lenti, e i suoi rischi sono concreti: dati fuori controllo, accessi mai chiusi, configurazioni esposte, fornitori non valutati. IBM stima che in Italia pesi 162.544 euro sul costo di una violazione, mentre NIS2 e ISO 27001 chiedono inventari che la shadow IT rende incompleti. La risposta non è il divieto ma la visibilità, seguita da una decisione voce per voce.

Se vuoi sapere cosa c'è davvero nei tuoi account cloud, compresi quelli che nessuno ricorda di aver aperto, partiamo dalla fotografia del cloud con Wiz.