¿Qué es la TI en la sombra? Riesgos y mejores prácticas

Es posible que los empleados no estén satisfechos con las tecnologías o los flujos de trabajo actuales. Algunos quizá aún no hayan expresado sus inquietudes sobre problemas que se avecinan en el trabajo. No se pueden pasar por alto los riesgos de la TI en la sombra, que a menudo comienza con estas inquietudes. Un empleado descontento que teme hablar debido a la cultura laboral puede recurrir a una herramienta de TI en la sombra para hacer su trabajo.

¿La razón? No quiere contrariar a su jefe ni revelar que los procesos actuales son ineficientes. Sin embargo, esa iniciativa puede generar nuevos riesgos sin que lo sepa. El software que utiliza puede contener código malicioso o estar aún en fase de prototipo o beta. Esta guía explica qué es la TI en la sombra en ciberseguridad. A continuación, conocerá sus implicaciones para la seguridad, las herramientas de TI en la sombra y mucho más.

¿Qué es la TI en la sombra?

A veces, las herramientas de seguridad y los sistemas de TI tradicionales no bastan para realizar ciertas tareas. Entonces, algunos empleados deciden utilizar software y herramientas especializados que no cuentan con la aprobación del equipo central de TI. La TI en la sombra se está convirtiendo en un problema importante para las empresas: no solo elude los controles, sino que también plantea diversos riesgos de seguridad. Según un estudio de Gartner, los empleados seguirán modificando o creando tecnologías fuera de la visibilidad de TI.

La mayoría de los riesgos de seguridad de la TI en la sombra están a la vista. Sin embargo, suelen pasar desapercibidos y pueden tardar mucho en detectarse. Entre las actividades de TI en la sombra en entornos locales, híbridos y multinube figuran el uso de herramientas SaaS desconocidas, sistemas heredados que deberían haberse retirado, bases de datos redundantes y el intercambio no autorizado de archivos o la colaboración en plataformas no aprobadas.

Causas de la TI en la sombra

La TI en la sombra puede surgir cuando los empleados buscan cubrir necesidades laborales específicas con herramientas que les resultan prácticas. Estas son algunas de las principales causas:

A veces, las herramientas de seguridad y los sistemas de TI tradicionales no son suficientes para realizar determinadas tareas. Es entonces cuando algunos empleados deciden utilizar software y herramientas especializadas que no están aprobadas por las autoridades y los sistemas centrales de TI. La TI en la sombra se está convirtiendo en un gran problema para las empresas, no solo porque elude los límites, sino porque plantea varios riesgos de seguridad. Según un estudio de Gartner, en el futuro los empleados seguirán modificando o creando tecnología que va más allá de la visibilidad de TI.
• Desconocimiento de los riesgos de seguridad – Algunos empleados creen de buena fe que estas herramientas no autorizadas son seguras. Es posible que desconozcan que las herramientas de TI en la sombra pueden contener malware.
• Procesos de aprobación lentos – Los empleados pueden cansarse de esperar a que se aprueben nuevas tecnologías o herramientas de software. Entonces recurren a prácticas de TI en la sombra sin que otros miembros de la organización lo sepan.
• Restricciones presupuestarias – Algunas herramientas de TI en la sombra se consideran alternativas más económicas que el software aprobado por la organización, sin límites ni restricciones de uso. Esto motiva a los empleados a utilizarlas.

Impacto de la TI en la sombra

La TI en la sombra plantea riesgos reales que pueden permanecer ocultos sin dejar señales visibles.

Estos son algunos de los efectos de las amenazas de TI en la sombra:

Causas de la TI en la sombra
• Los usuarios con acceso no autorizado pueden realizar cambios críticos en datos confidenciales y bases de datos de clientes. Incluso podrían modificar historiales médicos, alterar información y afectar las operaciones diarias de la empresa.
• Las actividades de TI en la sombra pueden introducir código malicioso en cualquier parte del proceso de producción, de forma accidental o deliberada. Pueden aumentar la vulnerabilidad de las organizaciones frente a ataques de día cero y ransomware. También pueden vulnerar firewalls y eludir los sistemas de detección de intrusiones y los antivirus.

¿Cómo detectar la TI en la sombra?

Puede detectar la TI en la sombra mediante la supervisión y verificación periódicas de la red. Estas son algunas medidas:

• Supervise el tráfico de red para detectar transferencias de datos inusuales o conexiones sospechosas
• Analice los informes de gastos y los datos de compras, si dispone de ellos, para detectar adquisiciones de software no autorizadas
• Conecte sus proveedores de SSO e identidad, como Google Workspace o Azure Active Directory, para identificar a los usuarios de las aplicaciones
• Implemente agentes de descubrimiento y extensiones de navegador para identificar las aplicaciones instaladas en los endpoints
• Capacite a los empleados para que informen sobre las nuevas aplicaciones no aprobadas que utilizan
• Si no realiza evaluaciones de seguridad periódicas, la TI en la sombra seguirá creciendo sin ser detectada
• Supervise los patrones de uso de la nube para identificar accesos a servicios en la nube no autorizados
• Antes de implementar cualquier plataforma, elabore un inventario completo de todas las aplicaciones aprobadas
• Deberá combinar estos métodos para obtener una visibilidad completa

¿Cómo prevenir y controlar la TI en la sombra?

Mayor familiaridad – Los empleados pueden sentirse más cómodos o productivos en el lugar de trabajo gracias al uso de herramientas de TI en la sombra. Pueden sentir que estas tecnologías les ayudan a terminar sus tareas más rápido y con mayor fluidez.

Falta de concienciación sobre la seguridad y los riesgos – Algunos empleados son realmente crédulos y piensan que estas herramientas no autorizadas son seguras. Es posible que no sean conscientes de que las herramientas de TI en la sombra pueden contener malware.

Procesos de aprobación lentos – Los empleados pueden cansarse de los largos periodos de espera para que el software o las herramientas aprobadas obtengan las autorizaciones para las nuevas tecnologías. Entonces recurren a prácticas de trabajo de TI en la sombra sin el conocimiento de otros miembros de la organización.

Restricciones presupuestarias – Algunas herramientas de TI en la sombra se consideran alternativas más asequibles, sin límites ni restricciones de uso, que el software aprobado dentro de la organización. Esto motiva a los empleados a utilizarlas.

Así puede prevenir y controlar los riesgos de la TI en la sombra:

Impacto de la TI en la sombra
• Pruebe los agentes de seguridad de acceso a la nube (CASB) – Los agentes de seguridad de acceso a la nube (CASBs) pueden controlar el acceso a las redes de su empresa y reforzar la seguridad en la nube. Puede utilizarlos para implementar protocolos de cifrado, controles de acceso y medidas de prevención de pérdida de datos (DLP) medidas. También puede prevenir las filtraciones de datos y mantener protegida la información sensible, además de aplicar las mejores prácticas de seguridad SaaS mediante su uso.
• Incorpore formación sobre los riesgos de la TI en la sombra y su gestión – Aunque parezca evidente, todos los empleados necesitan formación, independientemente de lo que sepan sobre las prácticas de TI en la sombra. Cuando todos comparten la misma información y conocen las últimas novedades en este ámbito, es menos probable que sean engañados o sorprendidos. Es importante impartir formación periódica y evaluar los conocimientos de los empleados de vez en cuando. También deben saber qué alternativas utilizar si prefieren otras herramientas.

Beneficios de la TI en la sombra

Las herramientas de TI en la sombra ofrecen beneficios a los usuarios:

• Las aplicaciones de TI en la sombra pueden facilitar el intercambio de archivos y la mensajería. También pueden acelerar la colaboración entre empleados y mejorar la comunicación entre departamentos.
• Las tecnologías de TI en la sombra son flexibles y fáciles de implementar. Puede desplegarlas rápidamente y se integran con otros sistemas. También pueden resolver problemas de rendimiento o cuellos de botella en su organización.
• Las herramientas de TI en la sombra también son muy personalizables: puede añadir o quitar funciones según sus necesidades. No tienen las restricciones del software comercial ni las reglas integradas de los servicios en la nube. Algunas tecnologías de TI en la sombra son completamente gratuitas y de código abierto, por lo que también permiten ahorrar dinero.

Riesgos y desafíos de la TI en la sombra

Estos son algunos de los riesgos y desafíos de la TI en la sombra:

Falta de visibilidad

La TI en la sombra puede eludir la MFA y los controles de acceso basados en roles. Sus sistemas pueden provocar un aumento de los riesgos de producción, como el robo de datos, pérdidas, daños en las aplicaciones y malware.

Los usuarios con acceso no autorizado pueden realizar cambios críticos en datos confidenciales y bases de datos de clientes. Incluso podrían modificar historiales médicos, manipular información y afectar a las operaciones diarias de la empresa.

Las actividades de TI en la sombra pueden inyectar código malicioso en cualquier parte del proceso de producción, tanto de forma involuntaria como intencionada. Pueden hacer que las organizaciones sean más vulnerables a los ataques de día cero y de ransomware. También pueden romper los cortafuegos y eludir los sistemas de detección de intrusiones y antivirus.

Los departamentos de TI desconocen lo que ocurre cuando los empleados utilizan herramientas y aplicaciones en la nube no autorizadas. Pierden visibilidad y gestionar la seguridad se vuelve difícil. La empresa pierde la capacidad de seguir las últimas actualizaciones de seguridad y no puede aplicar medidas estrictas de forma eficaz.

Seguridad deficiente de los datos

Las herramientas de TI en la sombra pueden provocar filtraciones de datos sensibles o intercambios de archivos poco seguros. Como proceden de proveedores no aprobados, no se sabe qué puede ocurrir con los datos que almacenan y transmiten. Esto puede perjudicar gravemente la reputación y las finanzas de una organización.

Genera brechas de cumplimiento

La TI en la sombra puede generar nuevas brechas de cumplimiento e infringir normativas de protección de datos vigentes, como CIS Benchmark, NIST, HIPAA o GDPR. Las herramientas no autorizadas no siempre cumplen los estándares del sector y pueden exponer a la empresa a multas, demandas y otras sanciones.

Ineficiencias y flujos de trabajo fragmentados

Puede realizar auditorías periódicas de la red para identificar aplicaciones y servicios no autorizados que se ejecutan en ella

Debe implementar la supervisión del tráfico de red para detectar transferencias de datos inusuales o conexiones sospechosas

Si dispone de informes de gastos y datos de adquisiciones, puede analizarlos para detectar compras de software no autorizadas

Debe conectarse con sus proveedores de SSO e ID, como Google Workspace o Azure Active Directory, para rastrear a los usuarios de las aplicaciones

Existen agentes de detección y extensiones de navegador que puede implementar para encontrar aplicaciones instaladas en los terminales.

Debe formar a los empleados para que informen de las nuevas aplicaciones que utilizan y que no han sido aprobadas.

Si no realiza evaluaciones de seguridad periódicas, la TI en la sombra seguirá creciendo sin ser detectada

Puede supervisar los patrones de uso de la nube para identificar los servicios en la nube no autorizados a los que se accede

Antes de implementar cualquier solución, realice un inventario completo de todas las aplicaciones aprobadas

Será necesario utilizar una combinación de estos métodos para lograr una visibilidad completa

Las aplicaciones de TI en la sombra no se integran fácilmente en los sistemas de TI. Pueden fragmentar los flujos de trabajo, generar incoherencias en los datos y causar interrupciones operativas. Con el tiempo, todo esto puede afectar la productividad de los empleados y a la organización en su conjunto.

Mejores prácticas para gestionar la TI en la sombra

Estas son algunas de las mejores prácticas que puede aplicar para gestionar la TI en la sombra en su organización:

A continuación se explica cómo puede prevenir y controlar los riesgos de la TI en la sombra:
• Revise también los controles de acceso y cumpla las obligaciones legales y normativas. Examine todas las transacciones asociadas a aplicaciones no autorizadas, compare los datos de las transacciones y registre los volúmenes de descarga y carga.
• Compruebe sus parámetros de seguridad y verifique si su organización utiliza los estándares de cifrado más recientes. Si detecta sistemas sin parches o actualizaciones pendientes, atiéndalos de inmediato. También se recomienda crear políticas dinámicas y detalladas para controlar eficazmente la transferencia de datos entre las aplicaciones y los usuarios.
• Adopte el principio de acceso con privilegios mínimos y establezca una arquitectura de seguridad de red de confianza cero. Revise periódicamente sus políticas y solicite comentarios a los usuarios finales para evaluar su eficacia.
• Establezca también mecanismos de excepción, útiles cuando su organización no quiera aplicar determinadas políticas o controles. Esto aportará flexibilidad sin imponer el uso de tecnologías y herramientas de TI en la sombra.

Ejemplos de TI en la sombra

Estos son algunos ejemplos de TI en la sombra en la práctica:

Utilice herramientas de detección de TI en la sombra – Estas herramientas pueden ayudar a su empresa a encontrar e identificar tecnologías de TI en la sombra. Ofrecen una visión general completa de todos los riesgos de la TI en la sombra y proporcionan capacidades de supervisión en tiempo real. Su departamento de TI obtendrá la visibilidad que tanto necesita y podrá reaccionar rápidamente ante los problemas de la TI en la sombra.

Pruebe los agentes de acceso a la seguridad en la nube (CASB) – Los Cloud Security Access Brokers (CASB) pueden proteger las redes de su empresa y la seguridad en la nube. Se pueden utilizar para implementar los mejores protocolos de cifrado, controles de acceso y medidas de prevención de pérdida de datos (DLP). También puede evitar fugas de datos y garantizar que los datos confidenciales permanezcan protegidos, además de aplicar las mejores prácticas de seguridad SaaS al utilizarlos.

Incorporar formación sobre concienciación y gestión de riesgos de la TI en la sombra – No hace falta decirlo, pero es necesario formar a todos los empleados, independientemente de su conocimiento de las prácticas de TI en la sombra. Cuando todos están en sintonía y conocen las últimas innovaciones en materia de TI en la sombra, es menos probable que se dejen engañar o se vean sorprendidos. Es importante realizar sesiones de formación periódicas y evaluar los conocimientos de los empleados de vez en cuando. También deben saber qué alternativas de TI en la sombra utilizar en caso de que prefieran otras soluciones.

• Descargar software especializado sin la aprobación previa de la organización puede introducir riesgos de TI en la sombra en la red empresarial. Los empleados también pueden utilizar herramientas de diseño, CRM, aplicaciones de contabilidad y otras aplicaciones SaaS no autorizadas que pueden generar problemas de cumplimiento y falta de control.
• Los empleados pueden utilizar controles de políticas de TI en la sombra para modificar las políticas de seguridad de una organización sin conocimiento de los miembros de la junta directiva ni de otras partes interesadas. En cuanto a las políticas BYOD (uso de dispositivos personales), pueden optar por ignorarlas y trabajar con sus computadoras portátiles, teléfonos y tabletas personales. Estos dispositivos no están gestionados por el departamento de TI e introducen diversos riesgos de ciberseguridad asociados a la TI en la sombra.

Ventajas de la TI en la sombra

Conclusión

Así puede prevenir la TI en la sombra y detener el uso de estas herramientas y tecnologías en su organización. No afirmamos que toda la TI en la sombra sea perjudicial, pero en la mayoría de los casos puede serlo. Todo depende de las necesidades de su organización, del estado de ánimo de sus empleados y de su desempeño.

La comunicación transparente es clave para mantener el éxito, así que fomente los comentarios abiertos. También puede crear canales anónimos para los empleados que quieran expresar sus inquietudes, pero teman hacerlo. Así tendrán un espacio para compartir lo que piensan sin recurrir a prácticas de TI en la sombra.

• Los empleados pueden realizar sus tareas de forma más eficaz cuando tienen acceso directo al software necesario.
• Las aplicaciones de TI en la sombra pueden facilitar mucho el intercambio de archivos y hacer que la mensajería sea más cómoda. Permiten una colaboración más rápida entre los empleados y los departamentos pueden comunicarse entre sí de forma mucho más eficiente.
• Las tecnologías de TI en la sombra son muy flexibles y fáciles de implementar. Se pueden desplegar rápidamente y proporcionan integraciones perfectas. Si su organización se enfrenta a ineficiencias o cuellos de botella en el rendimiento, también pueden solucionarlos.
• Las herramientas de TI en la sombra también son muy personalizables, lo que significa que puede añadir o eliminar funciones a su gusto. No están restringidas como el software comercial ni tienen reglas integradas como los servicios en la nube. Algunas tecnologías de TI en la sombra son completamente de código abierto y gratuitas, lo que significa que también ahorra dinero.

Riesgos y retos de la TI en la sombra

Estos son algunos de los riesgos y retos de la TI en la sombra:

Falta de visibilidad

Los departamentos de TI no saben lo que ocurre en segundo plano cuando los empleados utilizan herramientas no autorizadas y aplicaciones basadas en la nube. Pierden control y se hace difícil gestionar la seguridad. La empresa pierde el acceso al seguimiento de las últimas actualizaciones de seguridad y no puede aplicar medidas de seguridad estrictas de forma eficaz.

Seguridad de datos deficiente

Las herramientas de TI en la sombra pueden provocar fugas de datos confidenciales o un intercambio de archivos inseguro. Dado que estas herramientas son creadas por proveedores no autorizados, no se sabe qué puede ocurrir con los datos que almacenan y transmiten. Esto puede causar graves daños a la reputación y las finanzas de una organización.

Crea brechas de cumplimiento

La TI en la sombra puede crear nuevas brechas de cumplimiento y violar las normativas de protección de datos existentes, como CIS Benchmark, NIST, HIPAA o GDPR. Las herramientas no autorizadas no siempre siguen los estándares del sector y pueden hacer que una empresa sea más propensa a recibir multas legales, demandas y otras sanciones.

Ineficiencias y flujos de trabajo fragmentados

Las aplicaciones de TI en la sombra no se integran fácilmente en los sistemas de TI. Pueden provocar flujos de trabajo fragmentados, inconsistencias en los datos y fallos operativos. En última instancia, todo ello puede afectar a la productividad de los empleados y, a largo plazo, a la organización en su conjunto.

Prácticas recomendadas para gestionar la TI en la sombra

A continuación se indican algunas de las prácticas recomendadas que puede implementar para gestionar la TI en la sombra en su organización:

• Revise y audite todas las cuentas de usuario presentes en la organización, revise también el uso de las aplicaciones SaaS y compruebe si se ajustan a los requisitos de uso y tolerancia al riesgo de su organización.
• También debe revisar los controles de acceso y cumplir con las obligaciones legales y normativas. Examine todas las transacciones asociadas a aplicaciones no autorizadas, realice un análisis comparativo de los datos de las transacciones y tome nota de los volúmenes de descarga y carga de las mismas.
• Compruebe sus parámetros de seguridad y vea si su organización está utilizando los últimos estándares de cifrado. Además, si hay algún indicio de sistemas sin parches o falta de actualizaciones, póngase a trabajar en ellos inmediatamente. También se recomienda crear políticas dinámicas y hacerlas granulares para poder controlar eficazmente la transferencia de datos entre la aplicación y el usuario.
• Adopte el principio de acceso con privilegios mínimos y cree una arquitectura de seguridad de red de confianza cero. Revise sus políticas periódicamente y recopile los comentarios de los usuarios finales para ver cómo funcionan.
• Además, cree mecanismos de excepción que puedan resultar útiles cuando su organización no desee aplicar políticas o controles específicos. Esto le dará flexibilidad y no obligará a utilizar tecnologías y herramientas de TI en la sombra.

Ejemplos de TI en la sombra

A continuación se muestran algunos ejemplos de TI en la sombra en acción:

• Las aplicaciones de terceros como Discord, Telegram, Signal y Slack pueden utilizarse para cifrar las comunicaciones y difundir el intercambio no autorizado de archivos. Las organizaciones no pueden rastrear los flujos de información a través de estos servicios ni supervisarlos.
• La descarga de software especializado sin la aprobación previa de la organización puede introducir riesgos de TI en la red de la empresa. Los empleados también pueden utilizar herramientas de diseño de TI en la sombra, CRM, cuentas y otras aplicaciones SaaS que pueden crear problemas de cumplimiento y falta de control.
• Los empleados pueden hacer uso de los controles de la política de TI en la sombra y personalizar las políticas de seguridad existentes de una organización con ellos, sin el conocimiento de los miembros de la junta directiva y las partes interesadas. En lo que respecta a las políticas de BYOD (traiga su propio dispositivo)BYOD (Bring Your Own Device, traiga su propio dispositivo), pueden optar por ignorarlas y trabajar con sus ordenadores portátiles, teléfonos y tabletas personales, que no están gestionados por el departamento de TI, lo que introduce varios riesgos de ciberseguridad de la TI en la sombra.

Conclusión

Así es como se previene la TI en la sombra y se detiene el uso de estas herramientas y tecnologías en su organización. No estamos diciendo que toda la TI en la sombra sea mala, pero en la mayoría de los casos puede resultar perjudicial. Todo depende de las necesidades de su organización, el estado mental de sus empleados y el rendimiento de todos.

La comunicación transparente es la clave para el éxito continuo, por lo que debe fomentar la retroalimentación abierta. También puede crear canales de denuncia anónimos para los empleados que quieran expresar sus preocupaciones, pero tienen demasiado miedo. Esto les dará una vía para expresar lo que piensan sin tener que recurrir a prácticas de TI en la sombra.

"