Bir kurumda IT envanterine bakarsınız, her şey yerli yerindedir. Sonra bir gün pazarlama ekibinden biri "geçen ay abone olduğumuz tasarım aracına giremiyoruz" diye ticket açar. Hangi araç? Kim abone olmuş? Hangi verileri oraya yüklemişler? IT'nin bu sorulara cevabı yoktur, çünkü o aracın varlığından ilk kez haberdar olmuştur.
Bu tabloya bir isim var: gölge IT. Yani IT departmanının bilgisi ve onayı dışında kullanılan yazılımlar, bulut servisleri ve cihazlar. Kulağa küçük bir disiplin sorunu gibi gelse de, kurumsal veri artık nerede durduğunu kimsenin bilmediği bir noktaya taşındığında iş ciddileşir. Gartner'ın da yıllardır işaret ettiği gibi, birçok kurumda teknoloji harcamalarının azımsanmayacak bir kısmı IT bütçesinin tamamen dışında gerçekleşiyor.
Kısaca: Gölge IT, çalışanların işlerini hızlandırmak için resmi onay süreçlerini atlayarak kendi başlarına edindiği teknolojilerdir. Sorunun kaynağı çoğu zaman kötü niyet değil, yavaş işleyen IT süreçleridir. ServiceDesk Plus; servis kataloğu, varlık keşfi, yazılım envanteri ve onay akışlarıyla bu davranışı hem görünür kılar hem de ortadan kaldıracak resmi alternatifi sunar.
Gölge IT Neden Ortaya Çıkar?
İşin gerçeği şu ki: Kimse sabah kalkıp "bugün kurumun güvenlik politikasını deleyim" demez. Satış ekibi müşteriye yarına kadar dosya göndermek zorundadır ve kurumsal dosya paylaşım talebinin onaylanması üç gün sürüyordur. Çözüm? Ücretsiz bir dosya paylaşım hesabı, beş dakikada açılır. İnsan kaynakları aday takibi için pratik bir araç bulur, aylık ücreti kurumsal kredi kartından ödenir ve kimseye sorulmaz. Yazılım ekibi test için bulutta birkaç sanal sunucu ayağa kaldırır, proje biter ama sunucular çalışmaya devam eder.
Bu örneklerin ortak noktası şudur: Resmi yol yavaş ya da belirsiz olduğu için gayri resmi yol cazip hale gelir. Gölge IT bir kullanıcı sorunu olduğu kadar bir süreç sorunudur. Bu tespit önemli, çünkü çözümün şeklini de belirliyor; sadece yasaklayarak bu iş çözülmez.
Görünmeyen Riskin Faturası
Gölge IT'nin yarattığı riskleri birkaç başlıkta toplamak mümkün.
En kritik olanı veri güvenliği. Müşteri listesi, sözleşme taslağı ya da kişisel veri içeren bir tablo, IT'nin varlığından haberdar olmadığı bir bulut servisine yüklendiğinde, o veri artık kurumun koruma şemsiyesinin dışındadır. Yedekleme yoktur, erişim denetimi yoktur, çalışan işten ayrıldığında hesabın ne olacağı belirsizdir. KVKK perspektifinden bakıldığında durum daha da nettir: Veri sorumlusu olarak kurum, nerede olduğunu bilmediği bir verinin güvenliğini de taahhüt edemez. Olası bir ihlalde "haberimiz yoktu" savunması, bildiğiniz gibi, karşılık bulmaz.
İkinci başlık lisans ve bütçe tarafı. Farklı departmanların aynı ihtiyaç için ayrı ayrı abonelik açması, hem mükerrer harcama hem de lisans uyumsuzluğu demektir. Denetim geldiğinde ortaya çıkan lisanssız kurulumların maliyeti, çoğu zaman baştan doğru planlanmış bir satın almanın birkaç katıdır.
Üçüncüsü ise operasyonel körlük. IT, varlığını bilmediği bir sistemin yamasını geçemez, zafiyetini tarayamaz, bir kesinti yaşandığında etkisini öngöremez. Geçtiğimiz aylarda ServiceDesk Plus'ın kendisinde duyurulan kritik güvenlik açığında (CVE-2026-12507) yaşandığı gibi, yama yönetimi ancak envanterini bildiğiniz sistemler için işler. Gölge IT tam da bu görüş alanının dışında kalan bölgedir.
ServiceDesk Plus Gölge IT ile Mücadelede Ne Sunuyor?
ManageEngine ServiceDesk Plus'ı bu konuda değerli kılan şey, tek bir "gölge IT modülü" sunması değil; sorunun iki ayağına birden dokunmasıdır. Bir yandan mevcut gölge IT'yi görünür kılar, diğer yandan kullanıcıyı gölgeye iten süreç sorunlarını ortadan kaldırır.
Varlık Keşfi ile Görünürlük
İlk adım her zaman aynıdır: Elinizde ne olduğunu bilmek. ServiceDesk Plus'ın varlık yönetimi modülü, ağı düzenli aralıklarla tarayarak Windows, Mac ve Linux cihazları, üzerlerindeki yazılımlarla birlikte envantere işler. Agent tabanlı ve agentsız tarama seçenekleri sayesinde merkez ofisteki masaüstünden sahadaki dizüstüne kadar geniş bir kapsam elde edilir.
Bu noktada işin gölge IT'ye bakan yüzü yazılım sınıflandırmasıdır. Keşfedilen yazılımlar onaylı, yasaklı ya da izlenen kategorilerine ayrılabilir. Bir kullanıcının bilgisayarında yasaklı listesindeki bir uygulama tespit edildiğinde IT ekibi bunu rapordan görür; tahminle ya da söylentiyle değil, veriyle hareket eder.
Servis Kataloğu: Gölgeye Gerek Bırakmayan Resmi Yol
Yukarıda söylediğimizi hatırlayalım: Kullanıcı resmi yolu yavaş bulduğu için gölgeye kayar. Servis kataloğu tam bu noktada devreye girer. Kurumun sunduğu yazılım, donanım ve hizmetler; net açıklamalar, teslim süreleri ve otomatik onay akışlarıyla bir katalog halinde kullanıcıya açılır. Kullanıcı "tasarım yazılımı lisansı" talebini iki tıkla oluşturur, talep tanımlı onay zincirinden geçer ve makul bir sürede sonuçlanır.
Deneyim şunu gösteriyor: Resmi kanal yeterince hızlı ve öngörülebilir olduğunda, kullanıcıların büyük bölümü gölgeye ihtiyaç duymaz. Katalogda olmayan bir ihtiyaç doğduğunda da kullanıcı bunu talep olarak iletir; böylece IT, kurumdaki gerçek ihtiyaçları gölgeden değil, kendi sisteminden öğrenir.
CMDB ile İlişkileri Görmek
Konfigürasyon yönetimi veritabanı (CMDB), keşfedilen varlıkları birbirleriyle ve iş servisleriyle ilişkilendirir. Bu, gölge IT tartışmasında genellikle atlanan ama kritik bir katmandır. Muhasebe ekibinin kendi başına kurduğu bir aracın hangi sunucuyla konuştuğunu, hangi veriye eriştiğini bilmiyorsanız risk değerlendirmesi de yapamazsınız. CMDB'ye düzgün işlenmiş bir ortamda ise "bu uygulamayı kapatırsak ne etkilenir" sorusunun cevabı dakikalar içinde alınır.
Yazılım Lisans ve Sözleşme Takibi
ServiceDesk Plus, lisans sayıları ile kurulum sayılarını karşılıklı izler. Satın alınan 50 lisansa karşılık 70 kurulum görünüyorsa bir uyum sorunu, 30 kurulum görünüyorsa bir israf var demektir. Departmanların kendi inisiyatifiyle aldığı abonelikler sözleşme yönetimine dahil edildikçe, yenileme tarihleri ve maliyetler tek merkezden takip edilir hale gelir. Gölge IT'nin bütçe tarafındaki dağınıklığı da böylece toparlanır.
Endpoint Central Entegrasyonu ile Müdahale
Tespit tek başına yeterli değildir; bazen aksiyon almak gerekir. ServiceDesk Plus'ın Endpoint Central ile entegrasyonu sayesinde, yasaklı olarak işaretlenen bir yazılım uzaktan kaldırılabilir, uygulama kontrol politikalarıyla yeniden kurulması engellenebilir. Böylece süreç; keşfet, değerlendir, karar ver ve uygula adımlarıyla uçtan uca kapanır.
Sektörel Uygulama Senaryosu
Orta ölçekli bir sigorta şirketi düşünelim. Acente yönetimi ekibi, sahadaki acentelerle belge paylaşmak için kendi bulduğu ücretsiz bir dosya paylaşım servisini kullanmaya başlamış olsun; içeride kimsenin haberi yok, poliçe ve kimlik fotokopileri de bu kanaldan akıyor.
ServiceDesk Plus devreye alındığında olaylar şöyle gelişir. Varlık taraması, ekipteki bilgisayarlarda ilgili servisin senkronizasyon uygulamasını tespit eder ve uygulama izlenen yazılımlar listesine düşer. IT ekibi tabloyu gördükten sonra ekiple konuşur ve asıl ihtiyacın "acenteyle hızlı ve büyük dosya paylaşımı" olduğu anlaşılır. Kurumun onaylı dosya paylaşım çözümü, servis kataloğuna "acente belge paylaşım alanı" adıyla, yarım günlük teslim süresiyle eklenir. Yasaklı yazılım politikasıyla eski uygulamanın kurulumları kaldırılır. Üç ay sonra aynı ihtiyaç başka bir departmanda doğduğunda, kimse internette araç aramaz; katalogdan talep açar.
Fark şudur: Gölge IT cezalandırılarak değil, gereksiz hale getirilerek çözülmüştür.
Sıkça Sorulan Sorular
Gölge IT'yi tamamen sıfırlamak mümkün mü? Gerçekçi olmak gerekirse hayır ve muhtemelen hedef de bu olmamalı. Amaç, kritik veriyi taşıyan gölge kullanımları görünür kılmak ve resmi kanalı yeterince hızlı hale getirerek yeni gölge oluşumunu asgariye indirmektir.
ServiceDesk Plus tarayıcı üzerinden kullanılan SaaS uygulamalarını da görür mü? Varlık taraması cihazlara kurulan yazılımları tespit eder. Tarayıcıdan kullanılan SaaS servislerinin ağ trafiği üzerinden görünür kılınması için güvenlik duvarı logları ve ManageEngine tarafında Log360 gibi çözümlerle desteklenmesi doğru yaklaşımdır. ServiceDesk Plus bu tabloda envanter ve süreç katmanını üstlenir.
Küçük bir IT ekibiyle bu süreç yönetilebilir mi? Evet, hatta asıl kazanç orada ortaya çıkar. Tarama, sınıflandırma ve onay akışları bir kez kurulduktan sonra büyük ölçüde otomatik ilerler; küçük ekipler elle envanter tutma yükünden kurtulur.
KVKK uyumu açısından gölge IT neden öncelikli olmalı? Çünkü envanterinde olmayan bir sistemdeki kişisel veri için ne saklama süresi işletebilirsiniz ne de silme talebini karşılayabilirsiniz. Veri envanterinin eksiksiz olması, KVKK uyumunun ön koşuludur ve gölge IT bu envanterin en büyük kör noktasıdır.
Sonuç
Gölge IT, kullanıcıların kurallara değil, işlerini yapmanın en kısa yoluna sadık olduğunu hatırlatan bir olgudur. Bununla mücadelenin yasak listeleri yayınlamaktan ibaret olmadığını, görünürlük ile hızlı ve güvenilir bir talep sürecinin birlikte kurulması gerektiğini bugüne kadarki projelerimizde defalarca gördük.
ServiceDesk Plus; varlık keşfi, yazılım sınıflandırması, CMDB, lisans takibi ve servis kataloğunu tek platformda birleştirerek bu iki ayağı da karşılar. Doğru kurgulandığında IT, kurumdaki teknoloji kullanımını kontrol eden değil, ona en hızlı cevabı veren birim haline gelir; gölge de kendiliğinden küçülür.
Technodus olarak ServiceDesk Plus'ın kurulumundan servis kataloğu tasarımına ve varlık yönetimi süreçlerinin devreye alınmasına kadar tüm adımlarda yanınızdayız. Kurumunuzdaki gölge IT tablosunu birlikte değerlendirmek isterseniz bizimle iletişime geçebilirsiniz.