Företag spenderar mycket pengar på att köpa datorutrustning. Hårdvaruköp kan ske i form av både slutanvändarenheter som bärbara datorer, stationära datorer och mobiltelefoner, men inkluderar även annan datorhårdvara som servrar och nätverksutrustning. Företag kan också spendera enorma summor pengar på mjukvara att köra på hårdvaran. Sammantaget är dessa officiell infrastruktur, eftersom företaget har godkänt att de används för affärsändamål.
Shadow IT är namnet på inofficiell infrastruktur, där människor har börjat använda icke godkända enheter, mjukvara eller molntjänster. Skugginfrastruktur behöver inte nödvändigtvis ha en affärsanvändning. Till exempel, om ett företag förbjuder BYOD, alias Bring Your Own Device, och en anställd ansluter sin personliga mobiltelefon till företagets nätverk, räknas det fortfarande som skugg-IT. Detta beror på att enheten är ansluten till ett företagsnätverk varifrån den skulle kunna sprida skadlig programvara etc om den hade äventyrats.
Ogodkänd programvara klassas också som shadow IT. Eftersom programvaran kommer att köras på företagets datorer kan det påverka prestanda eller säkerhet för enheterna eller nätverken negativt. De största riskerna med ogodkänd programvara är att den inte uppdateras eller att användaren får en inofficiell och skadlig kopia.
Moln IT-tjänster är en relativt ny del av shadow IT som kan användas för att behandla data, problemet är att dessa tjänster kan falla utanför företagets juridiska skyldighet att skydda data och inte överföra den till andra företag. Ogodkända molntjänster är också betydligt mindre benägna att gå igenom en ordentlig härdningsprocess, vilket gör dem mer benägna att vara sårbara för hackningsförsök.
Shadow IT är inte en lätt risk att förbereda sig för och hantera eftersom de exakta problemen och riskerna de utgör är okända per definition. Det enda sättet att förbereda sig för dem är att skapa rutiner och planer och att få tydliga konsekvenser för att bryta mot reglerna. Det är också särskilt viktigt att se till att officiella rutiner för att begära utrustning etc på rätt sätt är lätta att använda, eftersom det minskar chansen att anställda tar till att göra något de inte borde eftersom det är enklare.