Shadow IT: o lado bom, o lado ruim e o não aprovado

Você provavelmente já ouviu falar das políticas de “traga seu próprio dispositivo” (BYOD), que permitem que os funcionários utilizem seus dispositivos pessoais para fins profissionais. Apesar de serem dispositivos “externos” em relação a um sistema interno, eles ainda são rigidamente gerenciados e são essenciais para manter a integridade dos sistemas internos das empresas que os operam.

Isso costuma ser mal visto pelos participantes do BYOD devido à percepção de invasão de privacidade, entre outras razões; assim, os menos entusiasmados pensam: “O que meu pessoal de TI não sabe não vai fazer mal a eles”. Desconhecedores da política da empresa, os funcionários começam a acessar as redes corporativas com dispositivos não verificados, sem se preocupar com as inevitáveis repercussões.

Esses dispositivos são chamados de “Shadow IT”, um ponto cego de segurança para muitas organizações.

Pontos-chave deste artigo:

• Shadow IT é uma preocupação multifacetada enfrentada por empresas de todos os tamanhos, mesmo em ambientes que adotam o BYOD.
• Dispositivos e soluções não supervisionados representam riscos prováveis à segurança que podem resultar em incidentes ocultos.
• Ainda assim, a Shadow IT também pode ser benéfica na introdução de novas tecnologias, casos de uso tecnológico, aumento da produtividade e identificação de lacunas de segurança.

No abismo

Shadow IT representa mais do que os comuns laptops domésticos conectados às redes da empresa. Na verdade, o termo pode abranger vários tipos diferentes de dispositivos e até mesmo soluções de software ou serviços, como repositórios em nuvem ou assistentes de IA generativa cujo uso foi considerado “aceitável” por funcionários aleatórios, sem que eles tenham solicitado permissão.

De acordo com a Cisco, quase 80% dos usuários finais utilizam softwares não aprovados pela TI. Além disso, 83% da equipe de TI usa softwares ou serviços não autorizados.

Por quê? As razões são multifacetadas. Funcionários comuns podem achar que as soluções aprovadas pela empresa não são flexíveis o suficiente para ajudá-los a alcançar ganhos de produtividade. Pedir permissão para usar software gratuito reconhecido pelo setor, por exemplo, pode parecer um processo complicado.

Da mesma forma, os profissionais de TI podem sentir que suas ferramentas atuais não estão à altura do que é necessário para tornar seu trabalho mais eficaz. Isso também está relacionado ao exemplo de BYOD (Traga seu próprio dispositivo) mencionado na introdução, o gerenciamento de dispositivos pode parecer excessivo para alguns, que podem temer pela sua privacidade.

Um estudo de 2023 mostrou que até 69% dos funcionários ignoravam as diretrizes de segurança cibernética, com 74% dispostos a ignorá-las para ajudar a alcançar um objetivo de negócios.

No entanto, por trás de cada política de gestão de riscos há uma razão para sua existência. Dispositivos não verificados podem representar riscos à segurança, já que é improvável que sua proteção atenda aos padrões da empresa.

Ao mesmo tempo, a TI paralela pode se traduzir em custos além do orçamento regular da empresa, representando, segundo relatos, cerca de 50% dos gastos com TI em grandes empresas. Como essas despesas não fazem parte do orçamento anual regular, é provável que sejam custos desnecessários.

A “Shadow IT” do dia

Normalmente, as organizações utilizam várias soluções ou serviços para proteger os dispositivos de trabalho. Elas utilizam o ESET Endpoint Security, combinado com algo como o ESET Inspect, para visualizar e controlar melhor sua postura de segurança, ao mesmo tempo em que utilizam o ESET Mobile Threat Defense nos telefones de trabalho.

Isso resulta em um ambiente seguro, no qual atividades maliciosas são facilmente detectadas por essas soluções que verificam discrepâncias relacionadas a regras existentes ou comportamentos fora do comum, como um funcionário instalando um driver vulnerável assinado (o que, na pior das hipóteses, pode indicar a presença de um “EDR killer”).

Dispositivos não autorizados não contam com nada disso: não há correção automática de vulnerabilidades, a defesa contra ameaças avançadas é praticamente nula devido à inexistência de acesso ao SOC, e os dados da empresa ficam à mercê de qualquer agente mal-intencionado disposto a atacá-los.

Além disso, a TI paralela também é um problema de conformidade, já que aplicativos e dispositivos não monitorados provavelmente serão omitidos durante auditorias obrigatórias para seguros ou relatórios regulatórios.

Este último é especificamente um grande problema da Shadow IT, pois não é preciso muito para que um funcionário transfira documentos da empresa para um pen drive pessoal, faça upload para sua nuvem pessoal ou, na pior das hipóteses, introduza malware nas redes da empresa por meio de um dispositivo comprometido. Com tais possibilidades, a probabilidade de um incidente surpreender a equipe de TI cresce até se tornar uma certeza absoluta.

De acordo com o Relatório da IBM de 2025 sobre o Custo de uma Violação de Dados, os serviços de IA paralela são responsáveis por até 20% dos incidentes de segurança, elevando os custos das violações em US$ 670.000 e resultando também no comprometimento da propriedade intelectual e das informações pessoais.

Luz e sombra

No entanto, a TI paralela não é algo que deva ser descartado completamente. Embora seja certamente um fator de risco, ela traz alguns benefícios, tais como:

• Ganhos de produtividade: quem busca maior eficiência e produtividade pode encontrá-las nos produtos não autorizados que estão em uso.
• Destaque das lacunas tecnológicas: talvez as ferramentas disponíveis sejam realmente insuficientes, e as escolhas individuais feitas pelos funcionários possam indicar ao departamento de TI da empresa as alternativas corretas.
• Custos: sejamos honestos, tudo está caro hoje em dia. Computadores, telefones, SaaS… e os custos não param de subir. Ao não precisarem se comprometer com mais compras, as empresas podem economizar a longo prazo.
• Melhor monitoramento de segurança: Ao introduzir novos dispositivos no ambiente de trabalho, a equipe de segurança pode compreender melhor como gerenciar riscos externos e, nesse caso, identificar com mais precisão quais comportamentos dos funcionários são ou não arriscados.

Contra a Shadow IT

Um problema com a Shadow IT é que é difícil avaliar sua extensão dentro de uma organização.

Devido ao grande número de dispositivos e programas provavelmente em uso, é quase impossível auditá-los. Quase. Para softwares instalados em computadores de trabalho, pode ser mais fácil, já que eles já contam com gerenciamento remoto ou softwares de segurança dedicados; mas, para dispositivos não autorizados, provavelmente é um pouco mais complicado.

Empresas inteligentes lidam com esse vetor por meio da segmentação de rede (como redes Wi-Fi para visitantes) e do gerenciamento de acesso (exigindo uma VPN protegida para acessar servidores internos), mas isso não impede exatamente que as pessoas copiem ou enviem arquivos para espaços não autorizados, o que é outro multiplicador de risco. Portanto, a prevenção precisa vir em primeiro lugar.

Saindo da sombra

Para combater a TI paralela e, ao mesmo tempo, lidar com a produtividade dos funcionários, as empresas devem:

• Aplicar políticas internas: ao comunicar claramente as expectativas do departamento de TI, incluindo possíveis penalidades, as empresas podem aumentar a conscientização dos funcionários e, ao mesmo tempo, reduzir seus riscos.
• Focar na conscientização sobre segurança: os treinamentos de conscientização em segurança cibernética devem explicar os riscos associados a dispositivos ou aplicativos não verificados, abordando a Shadow IT como um ponto central.
• Avaliar a opinião dos funcionários: é provável que os funcionários tenham motivos válidos para usar a Shadow IT. Pesquise as atitudes dos funcionários para detalhar suas experiências e avaliar quaisquer oportunidades de um melhor retorno sobre o investimento (ROI) relacionadas ao uso dos produtos.
• Aperfeiçoar o monitoramento: Não há nenhum agente de monitoramento ativo instalado em um dispositivo de Shadow IT? Não há problema. Se esses funcionários se conectarem às redes da empresa, basta analisar a atividade e o tráfego da rede para identificar comportamentos suspeitos. Para aplicativos ou serviços potencialmente indesejados, tanto um agente de segurança instalado quanto uma ferramenta de monitoramento podem ser de grande ajuda.

Dicas e insights de especialistas

Há anos, os funcionários utilizam ferramentas não autorizadas, conhecidas como “Shadow IT”, para contornar a burocracia e os processos internos lentos que atrasam a adoção de tecnologia. Ao buscar novas soluções para melhorar a produtividade, essa abordagem frequentemente introduz riscos ocultos no ambiente da organização que as equipes de TI e segurança, já sobrecarregadas, não conseguem cobrir. O lançamento frequente de novas ferramentas de IA, poderosas e fáceis de usar, intensificou essa tendência, deixando as organizações com dificuldades para identificar e gerenciar as ameaças desconhecidas incorporadas em seus produtos e infraestrutura.

Somente o tempo revelará o verdadeiro impacto da Shadow IT e da Shadow IA nos processos, na produtividade, na privacidade de dados, na segurança e na qualidade dos produtos. Uma área de particular preocupação são os produtos de software, onde códigos gerados por IA e práticas como o “vibe coding” podem (re)introduzir projetos inseguros e vulnerabilidades enraizadas nos maus hábitos de programação presentes nos dados de treinamento de IA. Embora a Shadow IT possa impulsionar a inovação, se não for gerenciada adequadamente, ela pode se tornar um risco, levando potencialmente a incidentes graves ou, na pior das hipóteses, a uma falha organizacional catastrófica.

- Ondrej Kubovič, especialista em conscientização de segurança da ESET

O amanhecer

A Shadow IT é um problema? Depende da perspectiva de cada um. Embora seja um fator de risco que multiplica as chances de exposição de dados ou de um comprometimento, há também um lado positivo. Provavelmente não faria sentido proibir todos os aplicativos paralelos, mas transformar seu uso em uma tomada de decisão mais acertada em relação à aquisição de dispositivos ou softwares, bem como às políticas internas sobre BYOD, por exemplo, justificaria sua relevância contínua.