Ya sea por culpa de la nube, de la pandemia, del colapso de los sistemas informáticos centralizados, de la revolución de la inteligencia artificial o de todo lo anterior, la «TI en la sombra» se está descontrolando en muchas organizaciones.
La «TI en la sombra» —es decir, el uso por parte de los empleados de sistemas, dispositivos, software y servicios de tecnologías de la información sin la aprobación explícita ni la supervisión del departamento de TI— puede adoptar muchas formas: por ejemplo, un empleado que se registra para disfrutar de la prueba gratuita de una nueva herramienta. Se trata de un responsable que, al disponer de controles administrativos, aprueba una solicitud para su unidad y la pone en práctica sin la supervisión ni la autorización del departamento de TI. Se trata de una nueva empleada con un horario de trabajo híbrido que utiliza una memoria USB para trasladar documentos desde su oficina en casa a la oficina de la empresa y viceversa.
Y, según Gartner, se trata de un problema que está creciendo rápidamente. La empresa de investigación tecnológica prevé que el 75 % de los empleados habrá adquirido, modificado o creado tecnología fuera del ámbito de control del departamento de TI en los próximos tres años, lo que supone un aumento con respecto al 41 % registrado en 2023.
«En este momento se ha producido una democratización de la tecnología y del trabajo analítico en la mayoría de las organizaciones», explica Leigh McMullen, distinguida vicepresidenta y analista de Gartner, en una ponencia pronunciada en la cumbre sobre gestión de riesgos que la empresa celebró el año pasado. «Se están produciendo más cambios fuera de las funciones de TI centrales y de las divisiones de TI que dentro de ellas». «La TI en la sombra se ha convertido en algo habitual».
El cambio masivo hacia el teletrabajo es uno de los principales responsables. «Siempre ha existido la TI en la sombra, pero desde la pandemia se ha disparado, ya que las personas trabajan a distancia y idean sus propias soluciones informáticas», afirmó Candy Alexander, directora de seguridad de la información (CISO) y responsable del área de riesgos cibernéticos de la consultora tecnológica NeuEon, en una entrevista exclusiva con Focal Point.
El auge de la nube « » y del software como servicio (SaaS) no hace más que agravar el problema. Y la inminente revolución de la IA « » hace que este sea un tema que las empresas ya no pueden ignorar. «A los empleados les resulta muy fácil buscar soluciones por su cuenta», afirma Alexander. «La situación está realmente fuera de control».
[Lea también: ¿Qué es la gestión de riesgos? [Resumen simplificado] (se abre en una nueva pestaña)
La «TI en la sombra» acaba de cobrar más fuerza: le presentamos la «IA en la sombra»
Una de las preocupaciones más recientes en torno al uso no autorizado de la tecnología en las organizaciones actuales es la «IA en la sombra», es decir, el uso de la IA generativa para crear documentos, código, imágenes y audio. La «Shadow AI» plantea los mismos riesgos —o, posiblemente, más— para las organizaciones que la «Shadow IT».
«: Se están produciendo más cambios fuera de las funciones de TI centrales y de las divisiones de TI que dentro de ellas». La «TI en la sombra» se ha convertido en algo habitual.»Leigh McMullen, analista y vicepresidente de Gartner
«Dado el rápido ritmo de adopción de la IA generativa , muchas organizaciones no han tenido la oportunidad de elaborar directrices sobre el uso de la IA», afirma Alexander. Los principales riesgos de la IA en la sombra están relacionados con el conjunto de datos del que la organización obtiene el contenido. Si es inexacto o sesgado, los resultados también lo serán, lo que podría perjudicar la reputación de la organización o la fiabilidad de sus productos.
Tomemos, por ejemplo, un caso en el que el personal de marketing comience a utilizar herramientas de análisis de redes sociales basadas en inteligencia artificial para analizar el comportamiento de los clientes, optimizar las campañas publicitarias o predecir tendencias. Estos empleados no obtuvieron la autorización de la organización para utilizar las herramientas basadas en inteligencia artificial, por lo que no están debidamente reguladas y carecen de las medidas de seguridad adecuadas. Entre los riesgos que esto podría acarrear se encuentran el acceso de la herramienta a datos confidenciales de clientes o a información de carácter privado, lo que podría dar lugar a filtraciones de datos, o el incumplimiento de requisitos normativos como la HIPAA o las normas del RGPD de la UE.
La adquisición y el uso de estos sistemas, programas informáticos, servicios y dispositivos sin la autorización del departamento de TI plantean importantes retos a las organizaciones, afirma Alexander. Esto pone en riesgo los datos de la organización, ya que se desconoce qué aplicaciones y herramientas tienen acceso a ellos; puede dar lugar a problemas de cumplimiento normativo, lo que podría acarrear consecuencias legales , sanciones económicas y , así como , si no se cumplen determinadas medidas; y puede contribuir a crear un entorno informático fragmentado, con sistemas dispares que no se integran a la perfección.
«La seguridad en materia de protección de datos consiste, fundamentalmente, en identificar, controlar y supervisar», afirma. «Y es imposible que pueda hacer eso cuando tiene a empleados que salen y lo dejan todo por todas partes y en cualquier sitio». «Ha perdido todo el control sobre eso cuando no está delante de ello».
A la caza de la «TI en la sombra»
Sin las herramientas y los procedimientos adecuados, resulta difícil evaluar en qué medida su organización se ve afectada por la «TI en la sombra». Sin embargo, según Chris Cruz, director de sistemas de información del sector público de Tanium, hay algunos indicios a los que hay que prestar atención. La «TI en la sombra» es habitual en aquellas organizaciones en las que los recursos no dependen de un departamento de TI centralizado, lo que da lugar a una falta de estructura de gobernanza y de un sistema de adquisiciones centralizado. Como consecuencia, estos grupos tienden a tomar sus propias decisiones, a adquirir sus propios productos y a seguir sus propios protocolos, afirma.
«. Es muy fácil para los empleados buscar soluciones por su cuenta.»Candy Alexander, directora de seguridad de la información (CISO) y responsable del área de riesgos cibernéticos de NeuEon
Otros indicios de la «TI en la sombra» incluyen aumentos inexplicables en el gasto en TI, lo que indica la adquisición de herramientas o software no autorizados que no se ajustan a los proyectos de TI aprobados; redes federadas al margen de la red central, en las que no se exige a los usuarios que sean transparentes respecto a las decisiones que toman; y, en última instancia, incidentes de seguridad o filtraciones de datos que pueden estar relacionados con soluciones de TI no aprobadas.
Mantener bajo control la «TI en la sombra»
Dado que hay tanto en juego, las organizaciones deberían adoptar medidas concretas para reducir y gestionar la «TI en la sombra», desde la implantación de herramientas para detectar software y aplicaciones hasta la participación de los usuarios en los debates sobre la tecnología que utilizan:
1. Invierta en tecnologías de gestión y detección de activos
Las herramientas de gestión de activos, que se utilizan para registrar y realizar un seguimiento de los activos de las organizaciones, y las herramientas de detección de activos, que analizan las redes para detectar el hardware y el software conectados a la red de una organización, son dos tecnologías fundamentales para combatir la TI en la sombra.
[Lea también: ¿En qué consiste la identificación y el inventario de activos de TI?
«Hoy en día, la mayoría de las organizaciones desconocen qué activos están conectados a la red», afirma Cruz. «No saben cuántos terminales de tienen ni qué activos hay en la red». «Sin una gestión adecuada de los activos y sin conocer lo que ocurre en los terminales, no se puede gestionar lo que no se puede medir».
En una empresa con unos 120 empleados, por ejemplo, las tecnologías de detección identificaron 148 aplicaciones cuya existencia en la red desconocía por completo la organización, afirma Alexander. «Es realmente una locura, teniendo en cuenta el tamaño de la organización, pero estas herramientas ayudan a poner de relieve exactamente lo que está sucediendo».
Estas herramientas no solo ayudan a las organizaciones a identificar terminales, programas y suscripciones desconocidos, sino que también permiten ahorrar dinero al retirar de servicio el software obsoleto, añade Cruz. «Es posible que las empresas sigan pagando por programas informáticos que ni siquiera utilizan». «Estas herramientas también ayudan a garantizar que dispongan de las licencias adecuadas para el software que tienen, de modo que no surjan problemas cuando se realicen las auditorías», afirma.
2. Elaborar un inventario
Tras llevar a cabo un análisis de las herramientas, el hardware y el software, las organizaciones deberían elaborar un inventario para determinar qué se sigue utilizando, si es necesario, qué redundancias existen, qué software obsoleto puede retirarse del servicio y qué software podría renegociarse, afirma el señor Cruz.
«No se puede gestionar lo que no se puede medir.»Chris Cruz, director de sistemas de información del sector público, Tanium
«Otra cosa que le ayuda a determinar este inventario es qué programas existen para los que aún no se han desactivado las credenciales de los usuarios y que, por lo tanto, podrían seguir teniendo acceso a datos críticos», afirma Cruz. «Esto no solo le ayuda a mejorar sus capacidades operativas y a optimizar el retorno de la inversión, sino que también le permite reforzar su perfil de seguridad y reducir el software que presenta posibles vulnerabilidades de seguridad que, de otro modo, no podría evaluar».
3. Involucre a la comunidad de usuarios
Dado que los empleados son la causa principal de la «TI en la sombra», es fundamental que las organizaciones los involucren en las conversaciones sobre el software y las herramientas que utilizan, afirma Alexander. Recomienda reducir la variedad de herramientas o aplicaciones similares a unas pocas opciones por categorías y, a continuación, tratar de comprender por qué las utiliza la comunidad y qué es lo que les gusta de ellas.
«Sus primeras palabras no deberían ser: “No, eso no se puede hacer”». Debe establecer una relación con la empresa y la comunidad de usuarios y comprender realmente por qué utilizan estas herramientas. ¿Es porque siempre los han utilizado? ¿Será porque alguien les dijo que las probasen? «¿Se debe a que las herramientas de que dispone la organización no satisfacen sus necesidades?», pregunta ella. «Al recabar su opinión, se sienten valorados por el papel que desempeñan en la selección de la tecnología».
4. Dar prioridad a la educación y la formación
«Es importante que los empleados comprendan que existen protocolos que deben seguir cuando desean adoptar nuevas herramientas y aplicaciones», afirma Cruz. Para reducir la «TI en la sombra» en las organizaciones, resulta fundamental impartir formación sobre dichos procedimientos operativos estándar, afirma.
«Nuestra máxima prioridad debería ser conseguir que lo más seguro sea también lo más fácil de hacer.»McMullen
«Los usuarios deben formar parte de la solución, pero también deben comprender que todos deben seguir las mismas políticas y procedimientos a la hora de adquirir nueva tecnología», afirma. «Cuanto más logremos hacerlo y mantengamos ese nivel de comunicación, colaboración y confianza dentro de nuestra organización, mejor nos irá a la hora de abordar la TI en la sombra en el futuro y de garantizar que existan políticas adecuadas que todos puedan seguir».
De hecho, según Gartner, diseñar controles de seguridad en colaboración con el usuario aumenta la probabilidad de que se adopten comportamientos seguros en un 23 %. «Debemos centrarnos de forma en la experiencia de los empleados y en la ciberseguridad», aconsejó McMullen, de Gartner. «Nuestra máxima prioridad debería ser conseguir que lo más seguro sea también lo más fácil de hacer».
Estas políticas deben incluir disposiciones que establezcan que los empleados solo pueden utilizar aplicaciones previamente autorizadas; no obstante, las organizaciones también deben establecer procedimientos que los usuarios deban seguir para solicitar nuevas aplicaciones y herramientas para su evaluación, ya sea a través de un portal específico o de un ticket del servicio de asistencia, afirma Alexander. «Esto es importante porque se quiere que las personas sientan que pueden colaborar a la hora de determinar cuáles son las necesidades tecnológicas», afirma.
Según Cruz, dado que las organizaciones se proponen gestionar la TI en la sombra, es necesario comprender que se trata de un proceso continuo. «Es importante medir, gestionar, realizar un seguimiento y asegurarse de que todo el mundo siga los procesos y normas comunes, y de que comprenda la importancia de que no haya puertas sin cerrar en sus respectivos entornos», afirma. «Siempre digo que más vale prevenir que curar, y esta es la forma correcta de hacerlo».
