Las razones estructurales por las que surge el Shadow IT
Shadow IT se refiere al uso por parte de los empleados de hardware, software o servicios en la nube que el departamento de TI de la organización no conoce ni ha aprobado. Guardar archivos de trabajo en un Dropbox personal, gestionar proyectos con herramientas SaaS no autorizadas, acceder al correo corporativo desde un smartphone personal: todos estos son ejemplos típicos de Shadow IT.
El Shadow IT no surge de la negligencia o mala intención de los empleados. En la mayoría de los casos, es el resultado de decisiones racionales que priorizan la productividad del equipo: el proceso oficial de adquisición de TI es demasiado lento, las herramientas aprobadas no satisfacen los requisitos del trabajo. Sin embargo, esas "decisiones racionales" abren brechas graves en la seguridad de toda la organización.
5 riesgos de seguridad que genera el Shadow IT
1. Ampliación de las vías de fuga de datos
Cuando los datos empresariales se almacenan en servicios de almacenamiento en la nube o intercambio de archivos no autorizados, el departamento de TI ni siquiera puede saber que esos datos existen. Datos confidenciales que permanecen en cuentas de exempleados, enlaces compartidos configurados como públicos por error, fugas de datos del lado del proveedor del servicio: todas son "fugas invisibles" que el departamento de TI no puede detectar ni gestionar.
Según investigaciones de Gartner, se estima que aproximadamente un tercio de las fugas de datos empresariales se originan en Shadow IT.
2. Vacíos en autenticación y control de acceso
Los sistemas empresariales oficiales tienen aplicados inicio de sesión único (SSO), autenticación multifactor y control de acceso basado en roles. Sin embargo, los servicios de Shadow IT están fuera de estos controles.
- Las cuentas se crean con direcciones de correo personales y contraseñas reutilizadas
- No se configura la autenticación de dos factores
- Las cuentas no se desactivan al dejar la empresa (porque el departamento de TI desconoce su existencia)
- Ataques de credential stuffing permiten acceso no autorizado usando contraseñas filtradas de otros servicios
3. Incumplimiento normativo
Dependiendo del sector, existen regulaciones estrictas sobre la ubicación de almacenamiento de datos, métodos de cifrado y períodos de retención de registros de acceso. No hay garantía de que los servicios de Shadow IT cumplan estos requisitos.
- RGPD: posibilidad de que datos personales de ciudadanos de la UE se almacenen en servidores fuera de la UE
- HIPAA: información médica almacenada en servicios sin BAA (Business Associate Agreement)
- PCI DSS: información de tarjetas de crédito procesada en entornos no conformes
- Ley de Protección de Información Personal: el manejo de datos personales no cumple los requisitos de gestión de subcontratistas
Si se descubre un incumplimiento normativo, "los empleados lo usaron por su cuenta" no es una exención de responsabilidad. La organización es responsable de la gestión.
4. Vía de entrada de malware
El software y las extensiones de navegador no autorizados no han pasado por el escaneo de seguridad del departamento de TI. No es raro que ransomware o malware de robo de información disfrazado de herramientas legítimas se infiltre en la red corporativa a través del Shadow IT.
Desde la perspectiva de los ataques a la cadena de suministro, las herramientas de terceros no verificadas representan un riesgo grave. Si la propia herramienta ha sido comprometida, puede ser el punto de partida para que el daño se extienda a toda la organización.
5. Puntos ciegos en la respuesta a incidentes
Cuando ocurre un incidente de seguridad, el departamento de TI investiga los registros de los sistemas bajo su gestión. Sin embargo, no tiene acceso a los registros de los servicios de Shadow IT, por lo que no puede comprender el alcance completo del ataque. Si no se puede determinar el alcance de la brecha, no es posible realizar una contención ni recuperación adecuadas.
Cómo descubrir el Shadow IT
Lo que no se ve no se puede proteger. Primero es necesario hacer visible qué tipo de Shadow IT se está utilizando dentro de la organización.
Análisis de tráfico de red
Se analizan los registros del firewall o servidor proxy para detectar tráfico hacia servicios en la nube no autorizados. Las herramientas CASB (Cloud Access Security Broker) automatizan este análisis y visualizan el estado de uso del Shadow IT en un panel de control.
Auditoría de endpoints
Se recopila periódicamente la lista de software instalado en los dispositivos de los empleados y se compara con la lista de software aprobado. Si se han implementado herramientas MDM (Mobile Device Management), también se pueden auditar las aplicaciones en dispositivos móviles.
Análisis de datos de reembolso de gastos
Puede haber casos en que los empleados contraten servicios SaaS con sus tarjetas de crédito personales y los declaren como gastos. A partir de los datos del sistema de reembolso de gastos, se pueden descubrir servicios que el departamento de TI desconocía.
Monitorización de consultas DNS
Se monitorizan las consultas DNS de la red corporativa para detectar accesos a dominios de servicios en la nube no autorizados. Herramientas de verificación de direcciones IP como IP Check-san también pueden ser útiles para comprender las rutas de comunicación desde la red interna.
No erradicar el Shadow IT, sino gestionarlo
Un enfoque que intente prohibir completamente el Shadow IT fracasará casi con certeza. Los empleados encontrarán las herramientas necesarias para realizar su trabajo. Cuanto más se refuerce la prohibición, más ingeniosamente se ocultará.
El enfoque efectivo es abordar las causas raíz del Shadow IT mientras se mantiene el riesgo en un nivel gestionable.
Agilizar el proceso de adquisición de TI
Con un proceso que tarda semanas desde la solicitud hasta la aprobación de una nueva herramienta, el equipo no puede esperar. Preparar un "catálogo aprobado" de herramientas que cumplan los requisitos de seguridad y permitir el uso inmediato de las herramientas del catálogo reduce la motivación para recurrir al Shadow IT.
Implementar arquitectura Zero Trust
Basándose en los principios de Zero Trust, se controla el acceso basándose en la identidad y la confiabilidad del dispositivo, no en los límites de la red. Esto permite ejercer cierto control incluso sobre el acceso a datos a través de servicios de Shadow IT.
Implementar DLP (Data Loss Prevention)
Se implementan herramientas DLP para detectar y bloquear la carga de datos confidenciales a servicios no autorizados. La prevención completa es difícil, pero se puede reducir significativamente el riesgo de fuga de los datos más importantes.
Mejorar la conciencia de seguridad
Se educa a los empleados sobre los riesgos del Shadow IT con ejemplos concretos. Un mensaje constructivo como "este riesgo existe, así que por favor usa esta herramienta en su lugar" es más efectivo que "está prohibido, no lo uses". Combinarlo con formación en ingeniería social contribuye a elevar la conciencia de seguridad en general.
Conclusión - la visibilidad y la provisión de alternativas son la clave
El Shadow IT surge inevitablemente de la brecha entre la gobernanza de TI de la organización y las necesidades de productividad del equipo. Es realista abordarlo con tres capas: visibilidad (comprender qué se está usando), provisión de alternativas (satisfacer los requisitos del trabajo con herramientas aprobadas) y gestión del riesgo (controlar con DLP y Zero Trust), en lugar de prohibirlo.
Comienza analizando el tráfico de red de tu organización para comprender qué servicios no autorizados se están utilizando. Verificar la información básica de tu conexión de red en IP Check-san y comprender tu entorno de comunicación también es un primer paso para elevar la conciencia de seguridad.