El equipo de marketing necesita una herramienta de análisis de datos para una campaña urgente. TI tarda dos semanas en evaluar y aprobar. El área no puede esperar. En cuarenta y ocho horas tienen una cuenta activa en un servicio en la nube, conectada con el correo corporativo, sincronizando datos de clientes y facturando en la tarjeta del director de marketing.
Nadie hizo nada malo intencionalmente. El riesgo ya está ahí.
Por qué el shadow IT en la nube es diferente al de antes
El shadow IT tradicional era software instalado en una laptop que TI no había aprobado. Era visible si alguien buscaba. Tenía un alcance limitado al dispositivo donde residía. En la nube, el shadow IT no requiere instalación, no deja rastro en el endpoint y puede escalar a recursos sin límite con una tarjeta de crédito y una cuenta de correo.
Un desarrollador que levanta un entorno de pruebas en la nube con sus credenciales personales, lo conecta a los repositorios de código de la empresa y luego lo olvida, ha creado una superficie de ataque que permanecerá activa hasta que la tarjeta sea cancelada o el entorno quede en un estado vulnerable sin que nadie lo note. Eso no es un caso extremo: es un escenario que ocurre con alta frecuencia en equipos de desarrollo ágiles con presión de velocidad.
Según datos de Gartner, el gasto en shadow IT puede representar entre el 30 y el 40 por ciento del gasto total de TI en organizaciones medianas y grandes. La mayoría de ese gasto está en la nube. Y la mayoría de ese gasto no pasa por ninguna revisión de seguridad.
Los tres vectores de riesgo que el shadow IT introduce
El primero es la exfiltración de datos no intencional. Cuando un área de negocio conecta un servicio no aprobado con el directorio corporativo, los registros de CRM o los archivos compartidos, está transfiriendo datos de la organización a un tercero que nadie evaluó. Los datos fluyen. El equipo de seguridad no lo ve. La LFPDPPP no distingue entre una transferencia intencional y una que ocurrió porque alguien quería que su herramienta de análisis tuviera acceso a los contactos del correo corporativo.
El segundo es la infraestructura no gestionada como superficie de ataque. Un entorno cloud levantado sin seguir los estándares de seguridad de la organización probablemente no tiene logging activo, no tiene controles de acceso correctamente configurados y no está en el radar de ningún proceso de gestión de vulnerabilidades. Si un atacante lo encuentra —y los escáneres automatizados encuentran infraestructura expuesta en horas— tiene acceso a recursos que se conectan con sistemas corporativos y que nadie está monitoreando.
El tercer vector es el costo de un incidente sin visibilidad previa. Cuando ocurre un incidente originado en shadow IT, la investigación forense se complica porque nadie sabe bien qué había ahí, quién tenía acceso, qué datos pasaron por ese sistema ni durante cuánto tiempo estuvo comprometido. El incidente es más difícil de contener, más difícil de investigar y más costoso de remediar que uno originado en infraestructura conocida.
¿Qué hacer al respecto?
El error más común al responder al shadow IT es tratarlo únicamente como un problema de control: prohibir, bloquear, sancionar. Eso no elimina la necesidad que originó el shadow IT. Solo la hace más creativa para evitar los controles. El equipo de marketing que necesita una herramienta de análisis en 48 horas va a encontrar la forma de conseguirla, con o sin aprobación de TI.
La respuesta más efectiva ataca el problema desde dos ángulos simultáneos. El primero es aumentar la visibilidad: revisar el tráfico de red saliente, los registros del proveedor de identidad corporativo, las facturas de tarjetas corporativas y los accesos al repositorio de código. Esas cuatro fuentes, revisadas en conjunto, dan una imagen del shadow IT mucho más completa que preguntar a los empleados qué herramientas usan.
El segundo ángulo es reducir la fricción del proceso de aprobación. Si obtener aprobación para una herramienta nueva tarda dos semanas, el shadow IT es la respuesta racional del negocio. Un proceso ágil de evaluación —con criterios claros, tiempos definidos y una lista de servicios preaprobados para casos comunes— reduce el incentivo de saltarse el proceso porque el proceso deja de ser un obstáculo.
¿Cuánto tiempo tarda hoy en tu organización aprobar una nueva herramienta en la nube para un equipo de negocio? Ese número explica buena parte del tamaño de tu shadow IT.
Acciones inmediatas
- Revisa el tráfico de red saliente hacia dominios de servicios cloud no identificados en tu inventario. El análisis del tráfico DNS o de las conexiones HTTPS salientes revela servicios que los empleados usan sin que TI los haya registrado. Es el método de descubrimiento de shadow IT con mayor cobertura y menor fricción organizacional.
- Solicita al área de finanzas un listado de suscripciones a servicios digitales pagadas con tarjetas corporativas en los últimos seis meses. Ese ejercicio, que no requiere herramientas especiales, suele revelar entre 15 y 40 servicios activos que no están en el inventario de TI. Cada uno es un punto de exposición que necesita ser evaluado.
- Identifica los tres o cuatro procesos de aprobación de herramientas de TI que generan mayor fricción y diseña una versión más ágil. Una checklist de evaluación de cinco preguntas con tiempo de respuesta garantizado de 48 horas es más efectiva para reducir el shadow IT que cualquier política de prohibición, porque ataca la causa en lugar del síntoma.
- Crea una lista de servicios cloud preaprobados para casos de uso comunes por área de negocio. Herramientas de productividad, colaboración, análisis básico, gestión de proyectos. Si el área ya puede elegir dentro de una lista aprobada, el incentivo de buscar fuera disminuye significativamente sin requerir aprobación caso por caso.
- Revisa los repositorios de código corporativos en busca de referencias a servicios cloud externos o credenciales hardcodeadas. Los desarrolladores que trabajan con servicios no aprobados frecuentemente dejan esas referencias en el código. Ese hallazgo doble —shadow IT identificado y credencial expuesta— es uno de los más comunes y más urgentes de resolver.
Si tu organización quiere evaluar la extensión de su shadow IT en la nube e implementar controles que reduzcan el riesgo sin frenar al negocio, contáctanos en https://tbsek.mx/contacto/.
