¿Qué es shadow IT y por qué es un riesgo?

Shadow IT es uno de los mayores puntos ciegos en la gestión de software empresarial. El término se refiere a toda tecnología, software, aplicaciones, almacenamiento en la nube y herramientas de comunicación que los empleados usan sin la aprobación explícita de IT o compras. Y es más grande de lo que la mayoría de las organizaciones se imagina.

¿Cómo surge el shadow IT?

Shadow IT casi siempre surge como respuesta a un problema real. Un empleado necesita una herramienta para hacer su trabajo, el proceso de aprobación tarda demasiado o la alternativa ofrecida por IT es poco práctica. El camino más corto es crear una cuenta gratuita o contratar una pequeña suscripción con la tarjeta de crédito corporativa.

Lo que comienza como una persona con una herramienta, crece rápidamente. Se unen compañeros, se comparten archivos en plataformas no autorizadas y datos sensibles acaban en servidores fuera de la UE sin que nadie lo note.

¿Por qué es un problema el shadow IT?

Shadow IT tiene tres consecuencias concretas:

1. Riesgos de seguridad. Las herramientas no autorizadas no se revisan para comprobar su seguridad, no se actualizan ni se monitorizan. Suponen una puerta abierta para fugas de datos y ciberataques.

2. Riesgos de cumplimiento. Los datos gestionados a través de herramientas no autorizadas están fuera del control de la organización según la GDPR. En caso de una fuga de datos, la organización sigue siendo responsable.

3. Desperdicio. Las organizaciones pagan por herramientas centralizadas mientras los empleados utilizan de forma paralela alternativas gratuitas o baratas. La consolidación es imposible sin visibilidad.

Shadow IT y NIS2

Con la llegada de NIS2, el shadow IT se convierte en un riesgo aún mayor. La obligación de diligencia requiere que las organizaciones tengan un inventario actualizado de todo el software y proveedores, incluidas las herramientas adquiridas fuera del proceso formal de compras. Shadow IT hace que este inventario sea necesariamente incompleto.

¿Cómo abordar el shadow IT?

El enfoque no comienza por prohibir, sino por comprender. ¿Por qué usan los empleados ciertas herramientas? ¿Qué falta en la oferta aprobada? Solo al responder estas preguntas se puede consolidar eficazmente y mejorar la oferta formal de software.

Pasos prácticos: analiza los extractos de tarjeta de crédito y facturas para encontrar suscripciones a software desconocido, realiza encuestas a empleados sobre las herramientas que usan y comunica los hallazgos a IT y compras para una estrategia consolidada.