Shadow IT: lo bueno, lo malo y lo no autorizado

Probablemente hayas oído hablar de las políticas de trae tu propio dispositivo (BYOD), que permiten a los colaboradores utilizar sus dispositivos personales con fines laborales. A pesar de ser dispositivos "ajenos" a un sistema interno, siguen estando sometidos a un estricto control y son fundamentales para mantener la integridad de los sistemas internos de las empresas que los gestionan.

Esto suele disgustar a los participantes en el programa BYOD debido a la percepción de una intromisión en la privacidad, entre otras razones, por lo que los menos entusiastas piensan: "Lo que mi equipo de TI no sepa, no les hará daño". Desconociendo la política de la empresa, los empleados empiezan a acceder a las redes de la empresa con dispositivos no verificados, sin pensar en las inevitables repercusiones.

Estos dispositivos se denominan Shadow IT, un punto ciego de seguridad para muchas organizaciones.

Puntos clave de este artículo:

• El Shadow IT es un problema multifacético al que se enfrentan empresas de todos los tamaños, incluso en entornos que permiten el BYOD.
• Los dispositivos y soluciones no supervisados representan riesgos de seguridad probables que pueden dar lugar a incidentes ocultos.
• No obstante, el Shadow IT también puede resultar beneficioso a la hora de introducir nuevas tecnologías y casos de uso, potenciar la productividad y poner de relieve las brechas de seguridad.

Hacia el abismo

El Shadow IT va más allá de los típicos portátiles domésticos conectados a las redes de la empresa. En realidad, el término puede abarcar varios tipos de dispositivos diferentes, e incluso soluciones de software o servicios, como repositorios en la nube o asistentes de IA generativa cuyo uso ha sido considerado "aceptable" por empleados aleatorios sin que estos hayan solicitado permiso.

Según Cisco, casi el 80% de los usuarios finales utiliza software no autorizado por el departamento de TI. Además, el 83% del personal de TI utiliza software o servicios no autorizados.

¿Por qué? Las razones son múltiples. Los empleados pueden considerar que las soluciones aprobadas por la empresa no son lo suficientemente flexibles como para ayudarles a aumentar su productividad. Pedir permiso para utilizar software gratuito reconocido en el sector, por ejemplo, puede parecer una molestia.

Del mismo modo, los profesionales de TI podrían sentir que sus herramientas actuales no están a la altura de lo que se necesita para que su trabajo sea más eficaz. Esto también se relaciona con el ejemplo del BYOD (trae tu propio dispositivo) de la introducción: la gestión de dispositivos podría parecerles excesiva a algunos, que podrían temer por su privacidad.

Un estudio de 2023 reveló que hasta un 69% de los empleados incumplía las directrices de ciberseguridad, y que un 74% estaba dispuesto a hacerlo para ayudar a alcanzar un objetivo empresarial.

Sin embargo, detrás de cada política de gestión de riesgos hay una razón que justifica su existencia. Los dispositivos no verificados podrían suponer riesgos de seguridad, ya que es poco probable que su protección cumpla con los estándares de la empresa.

Al mismo tiempo, el Shadow IT puede traducirse en costes que superan el presupuesto habitual de una empresa, y, según se informa, representa alrededor del 50% del gasto en TI de las grandes empresas. Dado que estos gastos no forman parte del presupuesto anual habitual, es probable que se trate de costes innecesarios.

El Shadow IT del día

Por lo general, las organizaciones utilizan múltiples soluciones o servicios para proteger los dispositivos de trabajo. Utilizan ESET Endpoint Security junto con una solución como ESET Inspect para visualizar y controlar mejor su estado de seguridad, al tiempo que emplean ESET Mobile Threat Defense en los teléfonos de trabajo.

Esto da lugar a un entorno seguro, en el que estas soluciones detectan fácilmente la actividad maliciosa al comprobar si hay discrepancias con respecto a las reglas existentes o comportamientos fuera de lo normal, como que un empleado instale un controlador vulnerable firmado (lo que, en el peor de los casos, indicaría la presencia de un EDR killer).

Los dispositivos no autorizados carecen de todo esto: no cuentan con la aplicación automática de parches de vulnerabilidad, su defensa frente a amenazas avanzadas es prácticamente nula debido a la falta de acceso al SOC, y suponen una puerta abierta a los datos de la empresa para cualquier actor malintencionado que lo desee.

Es más, el Shadow IT también supone un problema de cumplimiento normativo, ya que es probable que las aplicaciones y los dispositivos no supervisados se omitan durante las auditorías obligatorias para seguros o informes reglamentarios.

Esto último constituye precisamente un gran problema de la TI en Shadow IT, ya que a un empleado no le cuesta mucho transferir documentos de la empresa a una memoria USB personal, subirlos a su nube personal o, en el peor de los casos, introducir malware en las redes de la empresa a través de un dispositivo comprometido. Ante tales posibilidades, la probabilidad de que se produzca un incidente que sorprenda al personal de TI se convierte en una certeza absoluta.

Según el informe de IBM de 2025 sobre el coste de una filtración de datos, los servicios de IA en el Shadow IT son responsables de hasta un 20% de los incidentes de seguridad, lo que eleva los costes de las filtraciones en 670 000 dólares y también da lugar a la vulneración de la propiedad intelectual y la información personal.

Luz y sombra

Sin embargo, el Shadow IT no es algo que deba descartarse por completo. Aunque sin duda es un factor de riesgo, también presenta algunas ventajas, como:

• Aumento de la productividad: quienes buscan una mayor eficiencia y productividad podrían encontrarlas en los productos no autorizados que utilizan.
• Puesta de relieve de las carencias tecnológicas: Quizás las herramientas disponibles sean realmente insuficientes, y las decisiones individuales de los empleados puedan indicar al departamento de IT de la empresa cuáles son las alternativas adecuadas.
• Costos: Seamos sinceros, hoy en día todo es caro. Ordenadores, teléfonos, SaaS… y los costes no dejan de subir. Al no tener que comprometerse a realizar más compras, las empresas pueden ahorrar costes a largo plazo.
• Mejor supervisión de la seguridad: Al introducir nuevos dispositivos en el entorno empresarial, el personal de seguridad puede comprender mejor cómo gestionar los riesgos externos y, en este caso, identificar con mayor precisión qué comportamientos de los empleados son o no son de riesgo.

Contra el Shadow IT

Un problema de IT es que resulta difícil evaluar su alcance dentro de una organización.

Debido al gran número de dispositivos y programas que probablemente se estén utilizando, resulta casi imposible auditarlos. Casi. En el caso del software instalado en los ordenadores de trabajo, podría resultar más sencillo, ya que estos ya cuentan con herramientas de gestión remota o software de seguridad eficaz; sin embargo, en el caso de los dispositivos no autorizados, es probable que resulte un poco más complicado.

Las empresas inteligentes abordan este vector mediante la segmentación de la red (como redes Wi-Fi para invitados) y la gestión de accesos (exigiendo una VPN protegida para acceder a los servidores internos), pero esto no impide exactamente que la gente copie o envíe archivos a espacios no autorizados, lo que supone otro multiplicador de riesgo. Por lo tanto, la prevención debe ser la prioridad.

Salir de la sombra

Para combatir el Shadow IT sin descuidar la productividad de los empleados, las empresas deberían:

• Aplicar políticas internas: al comunicar claramente las expectativas por parte del departamento de TI, incluidas las posibles sanciones, las empresas pueden aumentar la concienciación de los empleados y reducir al mismo tiempo su responsabilidad legal.
• Centrarse en la concienciación sobre la seguridad: las formaciones en materia de ciberseguridad deben explicar los riesgos asociados a los dispositivos o aplicaciones no verificados, abordando el Shadow IT como un punto clave.
• Realizar encuestas sobre la opinión de los empleados: es probable que los empleados tengan razones válidas para utilizar Shadow IT. Realizar encuestas sobre las actitudes de los empleados para conocer en detalle su experiencia y evaluar cualquier oportunidad de obtener un mejor retorno de la inversión (ROI) en relación con el uso de los productos.
• Perfeccionar la supervisión: ¿No hay ningún agente de supervisión activo instalado en un dispositivo Shadow IT? No hay problema. Si estos empleados se conectan a las redes de la empresa, basta con analizar la actividad y el tráfico de la red para detectar comportamientos sospechosos. En el caso de aplicaciones o servicios potencialmente no deseados, tanto un agente de seguridad instalado como una herramienta de supervisión pueden resultar de gran ayuda.

Consejos y perspectivas de expertos

Durante años, los empleados han utilizado herramientas no autorizadas —lo que se conoce como Shadow IT— para eludir la burocracia y los lentos procesos internos que retrasan la adopción de la tecnología. Aunque este enfoque busca nuevas soluciones para mejorar la productividad, a menudo introduce riesgos ocultos en el entorno de la organización que los equipos de TI y seguridad, ya sobrecargados, no pueden abarcar. La frecuente introducción de nuevas herramientas de IA, potentes y fáciles de usar, ha potenciado esta tendencia, lo que ha dejado a las organizaciones con dificultades para identificar y gestionar las amenazas desconocidas integradas en sus productos e infraestructura.

Solo el tiempo revelará el verdadero impacto del Shadow IT y Shadow IA en los procesos, la productividad, la privacidad de los datos, la seguridad y la calidad de los productos. Un ámbito que suscita especial preocupación es el de los productos de software, donde el código generado por IA y prácticas como el «vibe coding» pueden (re)introducir diseños inseguros y vulnerabilidades arraigadas en los malos hábitos de programación presentes en los datos de entrenamiento de la IA. Aunque la TI en la sombra puede impulsar la innovación, si no se gestiona adecuadamente, puede convertirse en un riesgo, lo que podría dar lugar a incidentes graves o, en el peor de los casos, a un fallo organizativo catastrófico.

- Ondrej Kubovič, especialista en concienciación sobre seguridad de ESET

El amanecer

¿Es el Shadow IT un problema? Depende del punto de vista de cada uno. Si bien es un factor de riesgo que multiplica las posibilidades de exposición de datos o de que estos se vean comprometidos, también tiene un lado positivo. Probablemente no tendría sentido prohibir todas las aplicaciones en la sombra, pero aprovechar su uso para mejorar la toma de decisiones en torno a la adquisición de dispositivos o software, así como las políticas internas relativas al BYOD, por ejemplo, justificaría su continua relevancia.