La sombra digital, o Shadow IT, es el uso de sistemas, software, dispositivos, aplicaciones y servicios de TI que funcionan y se utilizan sin la aprobación del departamento de TI, y es uno de los problemas de seguridad más peligrosos a los que se empiezan a enfrentar las empresas.
De hecho, es más que posible que muchas organizaciones no sean conscientes de la brecha que puede abrir la sombra digital, también conocida como TI en las sombras, hasta que es demasiado tarde. ¿Los departamentos de informática cuentan con las herramientas necesarias para hacer un seguimiento a este problema? Y ¿Cuáles son exactamente los problemas de seguridad que crea y cómo pueden resolverlos las organizaciones?
Índice de temas
La evolución de la TI en la sombra
Aunque es evidente que la TI en la sombra es una pesadilla para las organizaciones, es complicado determinar quién es el culpable o responsable. No hay una sola razón clara que explique la existencia en las empresas de esa peligrosa actividad informática.
Una de las razones principales es que las nuevas generaciones de empleados, es decir, los empleados millennials, han crecido rodeados de tecnología. Así, el uso de software y dispositivos no autorizados por parte de estos trabajadores está motivado por un factor de “conveniencia” o “comodidad”. Disponer de Internet, utilizar determinados programas informáticos a diario y un teléfono (smartphone) que lo hace todo, se ha convertido en parte de la vida moderna. Cuando esta nueva generación de empleados y empleadas se acerca a una empresa que tiene un entorno restringido, se siente limitada dentro de una red corporativa. Por lo tanto, la mayoría de estos jóvenes nativos digitales creen que no puede hacer su trabajo de forma eficiente sin utilizar aplicaciones no aprobadas, y esta actitud se convierte en un caldo de cultivo para la sombra digital.
Otra razón importante para el aumento de esta actividad perniciosa es el uso generalizado de software anticuado o desactualizado por parte de las empresas que no disponen de las actualizaciones necesarias para hacerle frente. Además, la falta de monitorización, supervisión y de gestión de inventarios y activos provoca que el departamento IT no sea consciente de estos problemas. Cuando la organización no resuelve esta falta de actualización y supervisión, es posible que sufra importantes amenazas de ciberseguridad.
¿Por qué es peligrosa la Shadow IT?
La mayoría de las grandes organizaciones todavía están ocupadas en la actualidad con proyectos de migración a la nube y centradas en la realización de otras grandes tareas similares de digitalización. Estos proyectos crean profundidad técnica, pero, lamentablemente, también se convierten en una base para la actividad informática no autorizada.
Los actores de las amenazas pueden utilizar importantes vulnerabilidades dentro de la sombra para desplegar ciberataques. Los usuarios están acostumbrados a utilizar servicios y aplicaciones directamente a través de la nube. No piensan necesariamente en los riesgos, sino directamente en acceder a los recursos que les ayudarán a completar sus tareas con éxito. La superficie de amenaza aumenta a medida que los trabajadores utilizan más y más aplicaciones. Por ejemplo, los empleados pueden usar con mucha normalidad aplicaciones tan populares como Dropbox o Wetransfer, que pueden no estar aprobadas por su departamento IT, por lo que terminan por poner a la empresa entera en peligro si no se supervisa su uso. Y, seguramente, los empleados utilizan aplicaciones públicas y gratuitas de la nube, porque la empresa no ofrece una aplicación alternativa adecuada y controlada.
La reciente generalización del trabajo a distancia ha generado una explosión de la sombra digital, con empleados que a menudo utilizan aplicaciones no seguras desde su hogar. Debido a estas redes degradadas, los datos sensibles de la empresa están en peligro, independientemente de los procedimientos de seguridad que la empresa pueda tener establecidos. Por ejemplo, en julio de 2022, el operador de banda ancha británico Anvil Mobile descubrió un nuevo exploit que secuestraba los routers de los usuarios finales y luego procedía a lanzar ciberataques a través de ellos.
Hay que tener en cuenta que los datos almacenados en redes como las domésticas, que no se adhieren a los estándares de las redes empresariales, son vulnerables a la piratería. Por lo tanto, si se trabaja a distancia y se cargan datos sensibles en un software que no es seguro, se está poniendo en peligro a toda la empresa. Ese es el problema de utilizar instalaciones que no están garantizadas o que no están aprobadas por el departamento de TI de la empresa. Cualquier descuido en una red doméstica o no autorizada puede poner en peligro a toda la organización.
¿Por qué las organizaciones han fracasado en la gestión de riesgos de Shadow IT?
Mientras las organizaciones y empresas no comprendan los riesgos que genera la sombra digital en su operativa, no le van a dar ninguna importancia. Según el informe de EfficientIP realizado por los analistas de IDC, para el 61% de las organizaciones la sombra digital no es una prioridad a la hora de proteger sus redes.
El tráfico del DNS y los datos de la red ayudan a las empresas a comprender el comportamiento online de sus empleados. La actividad informática no deseada puede detectarse tanto en aplicaciones en la nube no gestionadas, como en aplicaciones que no han sido autorizadas. Además, el DNS también puede identificar, marcar y hacer un seguimiento de las comunicaciones de máquina a máquina.
Por otra parte, el DNS puede rastrear la utilización de los servicios, el comportamiento y proporcionar una fuente de datos para comparar. Por ejemplo, a través de él, se puede comprobar cuantas veces se consulta el Dropbox, aunque no sea un servicio validado o aprobado por los responsables de TI.
Así las cosas, el 51% de las organizaciones utiliza el DNS como su principal herramienta para detectar la sombra digital, especialmente por la visibilidad que aporta de las apps basadas en la nube.
Diseñar y modelar las redes antes de desplegarlas profesionalmente es clave en cuestiones de seguridad. La automatización de estas va a permitir que se ajusten tanto a sus necesidades empresariales, como de seguridad.
