El Shadow IT o TI en la sombra es el uso de aplicaciones, servicios cloud, dispositivos u otras tecnologías dentro de una empresa sin la aprobación o supervisión del departamento de TI. Puede surgir de algo tan cotidiano como utilizar una aplicación para compartir archivos, contratar una herramienta SaaS desde un departamento o recurrir a una cuenta personal para resolver una tarea profesional.

El problema no es únicamente qué herramientas se utilizan, sino que la organización puede desconocer qué datos pasan por ellas, quién tiene acceso, dónde se almacena la información o qué medidas de seguridad se están aplicando.

La expansión de los servicios cloud y SaaS ha facilitado enormemente la adopción de nuevas herramientas. Por eso, gestionar el Shadow IT ya no consiste simplemente en prohibir aplicaciones: exige entender por qué aparecen, evaluar el riesgo y encontrar un equilibrio entre seguridad, gobierno y productividad.

¿Qué es Shadow IT?

Se considera Shadow IT cualquier sistema, aplicación, dispositivo o servicio tecnológico utilizado en una organización al margen de los procesos establecidos por el área de TI.

No significa necesariamente que se trate de una tecnología insegura. Una herramienta legítima y ampliamente utilizada también puede formar parte del Shadow IT si se incorpora sin seguir los mecanismos de evaluación y gestión de la empresa.

Imaginemos que un departamento contrata por su cuenta una plataforma SaaS y empieza a almacenar información corporativa en ella. O que un empleado utiliza una aplicación autorizada, pero accede mediante una cuenta personal en lugar de hacerlo con su identidad corporativa.

Ejemplos de Shadow IT en una empresa

El Shadow IT no siempre es evidente. De hecho, muchas de estas prácticas pueden integrarse en el trabajo diario sin que los usuarios perciban que están generando un riesgo.

Algunos ejemplos habituales son:

• Utilizar aplicaciones SaaS no aprobadas para tareas profesionales.
• Guardar o compartir documentos de la empresa mediante cuentas personales de almacenamiento cloud.
• Intercambiar información de trabajo a través de aplicaciones de mensajería no autorizadas.
• Contratar herramientas online directamente desde un departamento sin pasar por el proceso de evaluación de TI.
• Crear recursos cloud utilizando cuentas o credenciales personales.
• Conectar dispositivos no gestionados a recursos corporativos.
• Conceder a aplicaciones de terceros permisos de acceso a información o servicios de la compañía sin una revisión previa.
• Utilizar herramientas aprobadas mediante cuentas, configuraciones o procedimientos que quedan fuera de las políticas corporativas.

Por tanto, no basta con elaborar una lista de aplicaciones permitidas y prohibidas. El contexto en el que se utiliza una herramienta también determina el nivel de riesgo.

¿Por qué aparece el Shadow IT?

Rara vez el objetivo de un empleado es saltarse deliberadamente las medidas de seguridad. El origen suele ser mucho más práctico: necesita resolver una tarea y encuentra una herramienta que le permite hacerlo de forma sencilla.

Búsqueda de agilidad

Las aplicaciones SaaS y los servicios cloud pueden adoptarse con enorme facilidad. En muchos casos basta con crear una cuenta para empezar a utilizarlos.

Si los procedimientos internos para solicitar una herramienta son mucho más lentos que su contratación directa, algunos usuarios recurrirán a la vía que les permita continuar trabajando.

Las herramientas disponibles no cubren una necesidad

También puede ocurrir que las soluciones corporativas no respondan adecuadamente a una tarea concreta.

Cuando varios usuarios buscan alternativas por su cuenta para solucionar el mismo problema, conviene preguntarse por qué. El Shadow IT puede revelar necesidades que el catálogo tecnológico de la empresa todavía no está resolviendo.

Procesos internos demasiado complejos

Un procedimiento de aprobación excesivamente largo o difícil de entender puede terminar teniendo el efecto contrario al deseado.

La seguridad necesita controles, pero esos controles deben formar parte de procesos que puedan integrarse razonablemente en el trabajo diario.

Facilidad para contratar servicios SaaS y cloud

Hace años, incorporar una nueva tecnología podía exigir instalar software o desplegar infraestructura. Ahora una suscripción, una versión gratuita o una cuenta online pueden bastar para empezar.

Esta facilidad ha desplazado parte de la capacidad de decisión tecnológica desde TI hacia los propios usuarios y departamentos.

Falta de concienciación sobre los riesgos

Compartir un archivo a través de una aplicación conocida o introducir información en un servicio online puede parecer inofensivo. Sin embargo, el usuario puede desconocer dónde se almacenan esos datos, durante cuánto tiempo se conservan, quién puede acceder a ellos o qué permisos está concediendo.

Gestionar el Shadow IT, por tanto, no es solo una cuestión tecnológica. También requiere gobierno, procedimientos claros y cultura de seguridad.

Principales riesgos del Shadow IT

Su impacto depende de las herramientas utilizadas, de la información que procesan y del nivel de exposición que generan. Aun así, existen varios riesgos recurrentesque deben abordarse dentro de una estrategia más amplia de ciberseguridad empresarial.

Pérdida de visibilidad sobre aplicaciones y datos

Si determinados servicios quedan fuera de los sistemas de gestión de la empresa, TI puede desconocer qué información contienen, qué usuarios los utilizan o qué permisos se han concedido.

Esto crea puntos ciegos que dificultan tanto la gestión tecnológica como la protección de la información.

Fugas o pérdida de información

Una aplicación no gestionada puede utilizarse para almacenar o compartir información corporativa sin los controles habituales.

El riesgo también aparece cuando archivos, proyectos o recursos quedan asociados a cuentas personales. Si el empleado cambia de función o abandona la empresa, recuperar esa información o revocar determinados accesos puede resultar más complejo.

Mayor superficie de ataque

Cada aplicación, identidad, dispositivo o servicio conectado al ecosistema digital de una organización puede convertirse en un posible punto de entrada.

Si los equipos de seguridad ni siquiera conocen determinados activos, difícilmente podrán incorporarlos a sus procesos habituales de monitorización y protección.

Credenciales, permisos y configuraciones inadecuadas

Una herramienta adoptada al margen de TI puede no aplicar las políticas corporativas de autenticación y acceso.

Además, determinadas aplicaciones solicitan permisos para conectarse a otros servicios empresariales. Esos permisos deben conocerse y revisarse para evitar accesos innecesarios a información o recursos.

Riesgos de cumplimiento y protección de datos

La empresa necesita saber dónde está su información, cómo se trata y quién tiene acceso a ella.

Cuando determinados datos terminan en servicios que no han sido evaluados, garantizar el cumplimiento de las políticas internas o de los requisitos aplicables a esa información resulta más difícil.

Menor control sobre identidades y accesos

El uso de cuentas personales o identidades que quedan fuera de la gestión corporativa dificulta aplicar políticas homogéneas de acceso.

Por ello, la gestión del Shadow IT está estrechamente ligada a la protección de las identidades y a una correcta asignación de permisos.

Duplicidad de herramientas y costes

No todos los problemas son estrictamente de ciberseguridad.

Dos departamentos pueden estar pagando herramientas diferentes para resolver prácticamente la misma necesidad. Con el tiempo, esto genera costes innecesarios, dispersa la información y aumenta la complejidad del ecosistema tecnológico.

Del Shadow IT al Shadow AI

La rápida adopción de herramientas de inteligencia artificial ha trasladado buena parte de este problema a un nuevo terreno: el Shadow AI.

Se produce cuando empleados o departamentos utilizan aplicaciones y servicios de IA fuera de los mecanismos de aprobación y gobierno definidos por su organización.

Pensemos en un profesional que utiliza una herramienta de IA generativa para resumir documentación, traducir un informe, analizar información o elaborar contenido y, para hacerlo, introduce datos relacionados con su actividad profesional.

La cuestión no es únicamente qué herramienta está utilizando. También importa qué información comparte con ella y bajo qué condiciones se procesa.

El Shadow AI comparte así parte de los retos tradicionales del Shadow IT, aunque introduce nuevos escenarios que las organizaciones deben incorporar a sus políticas de seguridad y gobierno de la tecnología.

¿Cómo detectar el Shadow IT?

No se puede gestionar aquello que se desconoce. Por eso, el primer paso consiste en obtener una imagen más fiel de las tecnologías que realmente forman parte del día a día de la organización.

Algunas preguntas ayudan a orientar ese análisis:

• ¿Qué aplicaciones y servicios cloud utilizan los empleados?
• ¿Quién accede a ellos y mediante qué identidades?
• ¿Se emplean cuentas personales para actividades profesionales?
• ¿Qué información se carga, descarga o comparte desde estos servicios?
• ¿Qué aplicaciones de terceros tienen permisos sobre recursos corporativos?
• ¿Existen herramientas con funcionalidades similares contratadas por diferentes áreas?
• ¿Hay servicios que han quedado fuera de las políticas habituales de seguridad?

Detectar una aplicación no aprobada es solo el principio. Después hay que valorar qué datos procesa, qué permisos tiene, para qué se utiliza y qué riesgo plantea realmente.

Esta evaluación permite priorizar. No tiene el mismo impacto una herramienta utilizada puntualmente que no maneja información sensible que un servicio externo en el que se almacenan datos críticos o confidenciales.

Cómo reducir y gestionar los riesgos del Shadow IT

El enfoque más eficaz no pasa necesariamente por intentar eliminar cualquier aplicación que no estuviera previamente aprobada. Una política basada exclusivamente en bloquear puede incluso desplazar a los usuarios hacia otras alternativas igualmente desconocidas.

La gestión debería combinar varias líneas de actuación.

1. Identificar las herramientas que realmente se utilizan

El inventario oficial de aplicaciones no siempre refleja el entorno real.

Conocer los dispositivos, servicios cloud, aplicaciones e identidades presentes permite determinar dónde se encuentran los principales puntos de exposición.

2. Priorizar según el riesgo

No todas las aplicaciones requieren la misma respuesta.

Conviene analizar los datos que procesan, sus usuarios, los accesos y permisos que solicitan y su adecuación a las políticas corporativas. A partir de ahí se puede decidir qué herramientas pueden mantenerse, cuáles necesitan medidas adicionales y cuáles deben sustituirse.

3. Establecer políticas sencillas y conocidas

Los empleados necesitan saber qué pueden utilizar, qué prácticas deben evitar y cuál es el procedimiento para solicitar una nueva herramienta.

Una política difícil de entender o aplicar tendrá pocas posibilidades de trasladarse al trabajo cotidiano.

4. Reforzar la gestión de identidades, accesos y datos

La protección no debe centrarse únicamente en las aplicaciones.

Controlar quién accede a los recursos corporativos, bajo qué condiciones y con qué permisos permite reducir la exposición de información incluso en un ecosistema tecnológico cada vez más distribuido.

5. Ofrecer alternativas que respondan a las necesidades reales

Si diferentes profesionales recurren de forma recurrente a aplicaciones externas para realizar una misma tarea, probablemente exista una necesidad que merece ser analizada.

Bloquear la herramienta sin entender el motivo de su uso puede trasladar el problema a otra aplicación. Escuchar a los usuarios también forma parte de la estrategia de seguridad.

6. Formar y concienciar

Un empleado difícilmente puede identificar el riesgo de una práctica si nunca se le ha explicado.

La formación debería ayudar a reconocer situaciones concretas: compartir documentación mediante cuentas personales, conceder permisos innecesarios a una aplicación o introducir información empresarial en servicios que no han sido evaluados.

7. Revisar periódicamente el entorno

Las herramientas que utilizan las empresas cambian constantemente. También lo hacen las necesidades de sus profesionales.

La gestión del Shadow IT debe integrarse, por tanto, en los procesos habituales de gobierno y seguridad, y no tratarse como una revisión puntual.

¿Cómo puede ayudar Alhambra IT ante los riesgos del Shadow IT?

Gestionar el Shadow IT exige abordar de forma conjunta distintos ámbitos: infraestructura, servicios cloud, identidades, accesos, datos y ciberseguridad.

Desde Alhambra IT ayudamos a las organizaciones a analizar y proteger sus entornos tecnológicos desde una perspectiva integral de Cloud y Ciberseguridad, con el objetivo de identificar riesgos y establecer mecanismos de protección adaptados a su infraestructura y a sus necesidades de negocio.

Contar con una visión más completa del entorno permite tomar decisiones basadas en el riesgo y avanzar hacia un modelo en el que adoptar nuevas tecnologías no implique perder control sobre la información y los activos críticos de la organización.