HIGHLIGHTS
1. ¿Qué es el Shadow IT?
Es el uso de aplicaciones, servicios digitales o dispositivos dentro de una organización sin la autorización o el conocimiento del departamento de TI.
2. ¿Por qué aumenta el Shadow IT con el teletrabajo?
Porque los empleados, al trabajar desde casa o en vacaciones, recurren a cuentas personales, herramientas externas o nubes públicas para mantener la productividad sin pasar por los controles de seguridad corporativos.
3. ¿Qué riesgos genera el Shadow IT para las empresas?
Incrementa la probabilidad de fugas de datos, vulneraciones del RGPD o el ENS, pérdida de control sobre la información sensible y exposición a ciberataques.
4. ¿Cuál es el impacto económico del Shadow IT?
Según Gartner, entre el 30 % y el 40 % del gasto en tecnología de grandes empresas proviene de herramientas no autorizadas, lo que representa un uso ineficiente y riesgoso de recursos.
5. ¿Cómo pueden las empresas reducir el Shadow IT?
Mediante políticas claras de uso de aplicaciones, formación en ciberseguridad, auditorías regulares, soluciones seguras de colaboración aprobadas por TI y monitorización constante de accesos.
Índice de temas
Teletrabajo y aplicaciones no autorizadas
El teletrabajo se ha asentado con fuerza en España y, según las previsiones para 2025, más de la mitad de los profesionales continuará desempeñando sus funciones desde casa. Esta tendencia, sin embargo, trae consigo un riesgo creciente: el uso de aplicaciones no autorizadas que los empleados descargan para facilitar su labor diaria y que, de forma inadvertida, pueden transformarse en una amenaza silenciosa para las organizaciones.
En los últimos años, numerosas compañías han sufrido las consecuencias del llamado Shadow IT: la proliferación de herramientas instaladas sin el aval del departamento de TI. “Lo realmente preocupante no es solo la utilización de estas plataformas, sino el hecho de que a menudo se comparten credenciales o datos sensibles sin cumplir con los mínimos estándares de seguridad. Tras las vacaciones, esas aplicaciones permanecen activas, pero nadie se hace responsable de su control”, advierte Francisco Valencia, director general de Secure&IT, firma especializada en ciberseguridad.
Los estudios apuntan a que, a lo largo de 2025, más del 80 % de los trabajadores continuará utilizando software fuera del radar corporativo. Entre las soluciones más frecuentes destacan servicios de almacenamiento en la nube, apps de mensajería instantánea o herramientas de colaboración. Muchas se instalan durante los periodos de vacaciones para mantener la productividad a distancia, pero se siguen empleando a la vuelta sin autorización oficial ni visibilidad para los equipos de TI.
El enemigo silencioso: ¿qué es el Shadow IT?
Se conoce como Shadow IT a cualquier software, servicio digital o dispositivo que se emplea dentro de una empresa sin el conocimiento ni la autorización del departamento de TI. Aunque suele surgir como una solución práctica —para agilizar la colaboración o facilitar el trabajo en remoto—, lo cierto es que esta práctica implica un alto riesgo tanto para la seguridad como para el cumplimiento normativo de la organización.
El fenómeno se acentúa especialmente en verano, cuando el teletrabajo gana protagonismo. En este contexto, no es raro que los empleados, trabajando desde casa o incluso desde su lugar de vacaciones, opten por utilizar cuentas personales para gestionar documentación corporativa, instalar aplicaciones externas sin validación previa o compartir archivos sensibles en plataformas de almacenamiento en la nube sin control corporativo.
Fuera del perímetro de control
Como apunta el directivo, “el problema se incrementa cuando los empleados se reincorporan en septiembre y esas soluciones siguen activas, operando fuera del perímetro de control de la organización, sin el conocimiento del propio empleado ni tampoco de la empresa”.
Los datos demuestran el alcance real del fenómeno Shadow IT, y es que, en este año 2025, más del 80 % de los empleados ha utilizado alguna herramienta no autorizada en el entorno laboral. De hecho, Gartner estima que, entre el 30 % y el 40 % del gasto en tecnología de grandes empresas corresponde a este tipo de soluciones fuera del radar del departamento de TI.
El impacto va más allá de lo económico, puesto que algunos fabricantes aseguran que el 65 % de las organizaciones que utilizan Shadow IT han sufrido fugas de datos directamente relacionadas con estas prácticas. Y, para 2027, se estima que este porcentaje aumente, y es que se prevé que, el 75 % de los trabajadores, continuará utilizando servicios digitales no gestionados por su área técnica, lo que confirma una tendencia ascendente que requiere respuesta urgente.
Riesgos reales del Shadow IT y recomendaciones
El uso de aplicaciones y plataformas no autorizadas implica una pérdida de control por parte del departamento de seguridad. La confidencialidad de los datos se ve comprometida al estar alojados en servicios sin garantías ni contratos adecuados.
Además, se dificulta enormemente el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) o el Esquema Nacional de Seguridad (ENS), puesto que las organizaciones no pueden garantizar el tratamiento adecuado de la información cuando esta escapa a su control.
“En caso de incidente, la situación se agrava. Si una brecha de seguridad ocurre en una plataforma no registrada, puede pasar desapercibida durante semanas, llegando a complicar la respuesta, el análisis forense y la notificación legal de las compañías”, asegura Francisco Valencia.
Recomendaciones para las empresas
Conscientes de este escenario, se recomienda que las empresas aprovechen el regreso de las vacaciones para detectar, regular y reducir el Shadow IT. Para ello, es clave iniciar un ejercicio de revisión interna que incluya el inventario de herramientas utilizadas por los distintos departamentos, especialmente durante el verano; una auditoría de los flujos de datos; y un control de los dispositivos conectados a la red corporativa.
“Desde Secure&IT, también aconsejamos reforzar las campañas de concienciación entre el personal y establecer mecanismos de monitorización continua, como herramientas de descubrimiento de aplicaciones (CASB) o sistemas de protección de datos (DLP), que permitan recuperar la visibilidad y asegurar que todos los procesos digitales cumplen con los requisitos de seguridad establecidos”, concluye Valencia.
