¿Qué es la Shadow IT?

¿Qué es la Shadow IT?

"Shadow IT" hace referencia al uso no autorizado de software, hardware, u otros sistemas y servicios en de una organización, a menudo sin el conocimiento del departamento de Tecnología de la información (TI) de esa organización. A diferencia de la infraestructura de TI estándar, la Shadow IT no la gestiona una organización a nivel interno.

La Shadow IT puede entrar en una organización de diferentes maneras, pero lo habitual es que se produzca por una de las dos siguientes acciones:

1. Usar una herramienta no aprobada para acceder, almacenar o compartir datos corporativos. Por ejemplo, si una organización ha aprobado usar de forma exclusiva Google Workspace para compartir archivos, un empleado podría introducir la Shadow IT en la empresa si decide compartir archivos con Microsoft 365.
2. Acceder a una herramienta aprobada de una forma no autorizada. Para seguir con el ejemplo, si un departamento de TI ha aprobado el uso de Google Workspace con cuentas gestionadas por la empresa, un empleado puede introducir la Shadow IT en la empresa si decide acceder a Google Workspace con una cuenta personal que no está gestionada por la empresa.

Tanto si la adopción de la Shadow IT es intencionada como si no, esto genera problemas y costes de seguridad importantes. Aumenta el riesgo de que se produzcan fugas de datos, robos y otros ciberataques, a la vez que impide a los equipos de TI tomar medidas cruciales para minimizar los daños que puedan causar.

¿Por qué los usuarios eligen la Shadow IT?

Dada la multitud de riesgos de seguridad que presenta la Shadow IT, puede parecer sorprendente que los empleados decidan saltarse la aprobación del Departamento de IT al adoptar nuevas herramientas. A continuación, algunos de sus posibles motivos para hacerlo:

• Los empleados no son conscientes de los riesgos de seguridad inherentes a la Shadow IT. Es posible que los empleados no intenten de forma deliberada eludir los controles que ha establecido su departamento de TI, sino que simplemente desconocen que sus acciones pueden comprometer datos corporativos confidenciales y aumentar el riesgo de fuga de datos y ataques.
• Los empleados están más pendientes de las ventajas de utilizar herramientas no aprobadas. Puede que las mejores herramientas para realizar el trabajo no sean las que haya aprobado explícitamente el departamento de TI de una organización. Esto suele motivar que los empleados incorporen servicios adicionales que les ayuden a satisfacer una necesidad empresarial concreta, a obtener una ventaja competitiva en su mercado o a colaborar de forma más eficiente.
• Los empleados usan herramientas no aprobadas para llevar a cabo actividades maliciosas. La mayor parte de la Shadow IT no se usa con fines maliciosos; sin embargo, algunos empleados pueden usar aplicaciones y herramientas no aprobadas para robar datos, acceder a información confidencial o introducir otros riesgos para la organización.

¿Cuáles son los riesgos de la Shadow IT?

Aunque la Shadow IT puede facilitar el trabajo de algunos empleados, sus inconvenientes superan con creces sus beneficios. Si los equipos de TI no pueden realizar un seguimiento de cómo se utilizan las herramientas y los servicios en su organización, puede que no sean conscientes de hasta qué punto tiene presencia la Shadow IT, y no tienen ni idea de cómo se accede, se almacenan y se transfieren los datos de la empresa.

El uso de Shadow IT también hace que los equipos de TI pierdan el control sobre la gestión y el movimiento de los datos. Cuando los empleados implementan servicios no aprobados o trabajan en servicios aprobados con métodos no aprobados, pueden ver y mover datos confidenciales sin una adecuada supervisión del departamento de TI. Como resultado de esta falta de visibilidad y control, la Shadow IT puede ocasionar riesgos adicionales, incluyendo los siguientes:

• Los datos confidenciales pueden estar en riesgo o ser robados. Los atacantes pueden aprovechar los errores de configuración y las vulnerabilidades de los servicios alojados en la nube, abriendo la puerta a fugas de datos y otros ciberataques. Estos ataques pueden producirse sin que un departamento informático tenga conocimiento de ello, especialmente cuando tienen como objetivo aplicaciones y herramientas que no están aprobadas (y que posiblemente no sean seguras). Estos ataques pueden tener graves repercusiones económicas: en un estudio de 2020, IBM estimó el coste promedio de las fugas de datos causadas por errores de configuración en la nube en 4,41 millones de dólares.
• Las organizaciones pueden, a veces, incumplir las leyes de cumplimiento de datos sin saberlo. En el caso de las organizaciones que deben cumplir con las normativas de protección de datos (por ejemplo, el RGPD), es imperativo que tengan la capacidad de seguir y controlar cómo se procesan y comparten los datos. Cuando los empleados usan herramientas no autorizadas para gestionar los datos sensibles, es posible que pongan su organización en riesgo al incumplir estas leyes, lo que puede conllevar graves multas y penalizaciones.

¿Cómo pueden las organizaciones detectar y remediar la Shadow IT?

Hay varios pasos que puede dar un equipo de TI para minimizar los efectos de la Shadow IT en su organización:

• Implementar la detección de Shadow IT. Usar una herramienta de detección de Shadow IT puede ayudar a los equipos de TI a descubrir, rastrear y analizar todos los sistemas y servicios, tanto los aprobados como los no aprobados, que los empleados están usando en este momento. A continuación, los equipos de TI pueden desarrollar políticas para permitir, restringir o bloquear el uso de esas herramientas, según se vea necesario.
• Utilizar un agente de seguridad de acceso a la nube (CASB) o adoptar una arquitectura SASE. Un CASB (que se incluye como parte de la arquitectura SASE) te ayuda a proteger las aplicaciones y los servicios alojados en la nube mediante tecnologías de seguridad combinadas, como la detección de shadow IT, el control de acceso, la prevención de pérdida de datos (DLP), el aislamiento del navegador y muchas otras.
• Mejorar la formación de los empleados en gestión de riesgos. Puede que los empleados no sean conscientes de los riesgos de seguridad de la Shadow IT. Formar a los usuarios en buenas prácticas, como no utilizar el correo electrónico personal para acceder a recursos corporativos, revelar el uso de cualquier hardware y software no autorizado, informar de fugas de datos, entre otras, puede ayudar a prevenir que los datos se vean comprometidos o sean robados.
• Hablar con los empleados para conocer las herramientas que necesitan. Los empleados suelen saber qué herramientas son las mejores para su trabajo, pero puede que les incomode tener que pedir la aprobación explícita del departamento de TI, debido a limitaciones presupuestarias o cualquier otro problema. Iniciar esas conversaciones e implantar una cultura de no buscar culpables (en referencia a aquellos que ya hayan adoptado la Shadow IT) puede facilitar la creación de un entorno de trabajo más abierto y seguro.

¿Qué es una política Shadow IT?

Una política de Shadow IT ayuda a establecer protocolos para la adopción, aprobación y gestión de nuevo hardware y software en una organización. Los departamentos de TI crean estas políticas y pueden adaptarlas según la evolución de los riesgos de seguridad y las necesidades de la empresa.

Las políticas de Shadow IT son uno de los varios pasos necesarios para controlar y gestionar los sistemas y servicios en una organización, a la vez que se evita la introducción de cualquier herramienta no autorizada. Sin embargo, muchas organizaciones todavía no han estandarizado las políticas de Shadow IT; en una encuesta realizada a 1000 profesionales de TI de EE.UU., Entrust descubrió que el 37 % de los encuestados afirmaba que sus organizaciones no había consecuencias claras por usar Shadow IT.

¿Cómo protege Cloudflare contra la Shadow IT?

El conjunto de soluciones de seguridad Zero Trust de Cloudflare ayuda a los departamentos informáticos a identificar, catalogar y gestionar fácilmente las herramientas no aprobadas en sus organizaciones. Más información sobre cómo Cloudflare detecta la shadow IT.

Preguntas frecuentes

¿Qué es la Shadow IT?

Shadow IT hace referencia al uso de software, hardware u otros servicios digitales dentro de una organización sin la aprobación o la supervisión del departamento de informática. Esto se produce cuando los empleados utilizan herramientas no autorizadas o acceden a herramientas aprobadas a través de métodos no autorizados. La Shadow IT es especialmente habitual en relación con el uso de aplicaciones SaaS.

¿Por qué los empleados suelen adoptar la Shadow IT?

La mayoría de los empleados utilizan herramientas no autorizadas para mejorar la eficiencia de su trabajo o para resolver desafíos empresariales específicos que las herramientas autorizadas no pueden abordar. En muchos casos, los usuarios desconocen los riesgos de seguridad que implican, aunque en ocasiones más excepcionales se podría utilizar la Shadow IT para actividades maliciosas como el robo de datos.

¿Cuáles son los principales riesgos de seguridad asociados con la Shadow IT?

La Shadow IT crea importantes puntos ciegos para los equipos de seguridad, y esto conlleva una visibilidad y un control insuficientes sobre cómo se mueven los datos. Esto aumenta el riesgo de fugas de datos a través de servicios en la nube mal configurados y puede dar lugar a infracciones involuntarias de las leyes de conformidad de datos.

¿Cómo puede un agente de seguridad de acceso a la nube (CASB) ayudar a gestionar la Shadow IT?

Un CASB proporciona un conjunto de tecnologías de seguridad diseñadas para proteger los servicios alojados en la nube. Ayuda a los equipos de informática a identificar y analizar las aplicaciones no autorizadas que se utilizan en toda la organización, y a continuación pueden implementar políticas para permitir, restringir o bloquear estas herramientas y evitar la pérdida de datos.

¿Qué medidas pueden adoptar las organizaciones para reducir el impacto de la Shadow IT?

Las organizaciones pueden minimizar los riesgos utilizando herramientas de detección para catalogar los servicios no autorizados y fomentando una cultura libre de culpa en la que los empleados se sientan cómodos solicitando las herramientas que necesitan. Además, la formación en gestión de riesgos ayuda a los empleados a comprender por qué el uso de cuentas personales o de hardware no aprobado pone en riesgo los datos corporativos.

¿Qué finalidad tiene una política de Shadow IT?

Una política de Shadow IT establece protocolos claros sobre cómo se debe solicitar, aprobar y gestionar los nuevos recursos de hardware y software. Estas políticas ayudan a estandarizar las prácticas de seguridad y a garantizar el cumplimiento de todas las herramientas utilizadas en la empresa con los requisitos aplicables en materia de seguridad y conformidad.