Qué se considera Shadow IT
Lo que define al shadow IT no es el tipo de tecnología, sino la falta de conocimiento y aprobación de TI. La misma cuenta de almacenamiento en la nube es TI autorizada cuando el departamento la proporciona. Se convierte en shadow IT cuando un empleado la abre por su cuenta para terminar una tarea más rápido.
El shadow IT se da en tres capas: hardware, como una memoria USB personal, un portátil no gestionado o un router traído de casa; software instalado directamente en un ordenador de la empresa sin solicitud; y servicios en la nube o SaaS contratados con un correo corporativo y una tarjeta de crédito, al margen de las compras.
Shadow AI es un término más reciente y acotado que describe el uso de chatbots de IA públicos o herramientas con IA por parte de empleados sin aprobación. Suele tratarse como parte del problema más amplio del shadow IT. Merece mención aparte porque las herramientas de IA gratuitas se propagan rápido y pueden absorber texto sensible que un usuario pega en ellas.
Por qué surge el Shadow IT
El shadow IT rara vez es un intento deliberado de eludir la seguridad. Surge de fricciones cotidianas:
| Causa | Qué lo impulsa |
|---|---|
| Rapidez | Una cuenta gratuita se crea en cinco minutos; una solicitud formal tarda |
| Familiaridad | Los empleados traen herramientas que ya conocen de otros empleos |
| Vacíos en el conjunto aprobado | Cuando el software de la empresa no sirve, la gente busca otro |
| Trabajo remoto e híbrido | Los dispositivos personales difuminan la línea con la tecnología corporativa |
| Costo aparente bajo | Las herramientas SaaS baratas se cargan a gastos sin una compra grande |
Qué ve TI en un equipo
La pestaña Aplicaciones de la ficha de un equipo muestra los programas instalados, la capa en la que el inventario de software revela programas que nadie solicitó.
Ejemplos comunes
El shadow IT aparece de muchas formas. Estos son los casos más habituales:
- Cuentas personales de almacenamiento en la nube o de intercambio de archivos para mover documentos de trabajo entre casa y oficina.
- Aplicaciones de mensajería de consumo para conversaciones de trabajo, en lugar de la plataforma corporativa aprobada.
- Un equipo que contrata con su propio presupuesto una herramienta SaaS de gestión de proyectos o diseño, sin intervención de TI.
- Memorias USB personales, discos duros externos o un portátil o teléfono personal conectado a la red corporativa.
- Extensiones del navegador o pequeñas aplicaciones de utilidad instaladas para ahorrar tiempo en una tarea rutinaria.
- Herramientas de IA públicas no autorizadas, usadas para redactar, resumir o analizar contenido de trabajo (shadow AI).
Por qué el Shadow IT es arriesgado
Como el shadow IT queda fuera del inventario de TI, ninguna de las protecciones habituales llega a él:
| Riesgo | Qué puede salir mal |
|---|---|
| Sin supervisión de seguridad | Las actualizaciones y el antivirus no cubren el software no aprobado |
| Flujo de datos sin control | Los datos salen de los controles de acceso y de la auditoría |
| Exposición de cumplimiento | No se pueden aplicar las normas sobre dónde guardar datos regulados |
| Gasto duplicado | Varios equipos pagan herramientas que se solapan con licencias existentes |
| Sin soporte | Si su creador se va, TI no tiene registro ni cómo ayudar |
Cómo detectan y gestionan las organizaciones el Shadow IT
Como el shadow IT se define por la falta de visibilidad de TI, gestionarlo empieza por recuperarla, con descubrimiento automatizado y un registro de activos de TI actualizado. Después, atienda las causas:
- 1
Inventario y descubrimiento automatizados
Los agentes de endpoint y los escaneos de red muestran el hardware conectado y el software instalado, incluidos elementos que nunca se registraron.
- 2
Configuraciones de referencia
Comparar lo conectado a un ordenador con su configuración aprobada señala los dispositivos que quedan fuera.
- 3
Visibilidad del tráfico
Vigilar a qué servicios en la nube va el tráfico revela el uso de SaaS que nunca pasó por compras.
- 4
Aprobación más ágil
Un proceso claro y rápido para pedir herramientas reduce la tentación de eludir a TI.
- 5
Concienciación de los empleados
Explicar el riesgo en términos sencillos, y no solo prohibir herramientas, hace más probable que pregunten antes de instalar.
Cómo se ve en Anexet
Anexet Inventory da a TI una visión de lo que está instalado y conectado en cada equipo.
1 / 4
Empiece por la visibilidad
El shadow IT se define por la falta de visibilidad de TI, así que el primer paso es recuperarla. Después, elimine las causas, como las aprobaciones lentas y las carencias de las herramientas autorizadas.
Lectura recomendada: Seguridad corporativa de la empresa; Los 10 mitos principales que impiden a tu empresa ocuparse de la seguridad de la información.
Gestionar el shadow IT empieza por recuperar la visibilidad de TI y después eliminar las causas.
Anexet TeamCómo lo resuelve Anexet
Anexet no etiqueta ninguna función única como "detección de shadow IT", pero su módulo Inventory da a TI la visibilidad que el shadow IT normalmente oculta:
Como la plataforma se despliega on-premise, los datos de hardware y software descubiertos permanecen dentro de la propia infraestructura de la organización.
Inventario completo de software por ordenador
la pestaña Applications lista cada programa instalado en cada estación de trabajo, con editor, fecha de instalación, tamaño, versión y ruta, dando a TI una imagen completa de lo que realmente se está ejecutando, en lugar de lo que se solicitó formalmente.
Alertas de desviación de configuración
puede fijarse una configuración de referencia para cada ordenador; un dispositivo conectado que quede fuera de ella, o un dispositivo esperado que ya no se encuentre, se marca y se comunica al responsable de seguridad, revelando hardware que llegó a la red fuera de los canales aprobados.
Sitios y aplicaciones sin categorizar
la supervisión de actividad agrupa los sitios visitados y las aplicaciones usadas en categorías, y los elementos que quedan fuera de las categorías conocidas destacan como destinos no reconocidos que merecen revisión.
Gestor de dispositivos y mapa de oficina
los dispositivos pueden revisarse, vincularse a las fichas de los ordenadores y ubicarse en un mapa visual de la oficina, lo que facilita detectar equipos que nunca se introdujeron en la configuración aprobada.
Rastro de auditoría
cada adición, cambio o reclasificación de un dispositivo o configuración queda registrada, de modo que un elemento de hardware en la sombra recién descubierto ya cuenta con un historial registrado desde el momento en que se encontró.
Anexet Inventory
Más información