Durante el verano, trabajar desde una segunda residencia, un hotel o incluso una cafetería se ha convertido en algo habitual. El problema aparece cuando, para resolver una tarea rápidamente, los empleados comienzan a utilizar aplicaciones, dispositivos o servicios que la empresa no conoce ni ha autorizado.
Esta práctica se denomina Shadow IT o «tecnología en la sombra». Puede parecer inofensiva, pero puede convertirse en un riesgo para la ciberseguridad y la protección de la información corporativa ya que hace que la organización pierda visibilidad sobre dónde está su información y quién puede acceder a ella.
Cuando una herramienta queda fuera del control de la organización, también puede quedar fuera de sus medidas de seguridad. La empresa puede perder visibilidad sobre qué información se comparte, dónde se almacena, quién puede acceder a ella y qué ocurre con esos datos después.
¿Qué es exactamente el Shadow IT?
El Shadow IT es el uso de aplicaciones, dispositivos, servicios o sistemas tecnológicos para fines profesionales sin la autorización o supervisión de la organización.O lo que es lo mismo, incluye cualquier tecnología utilizada para trabajar sin la aprobación o supervisión del departamento de tecnología o seguridad.
No tiene por qué tratarse de una herramienta especialmente sofisticada. Algunos ejemplos habituales son:
- Enviar un documento corporativo al correo personal para trabajar desde casa.
- Utilizar una cuenta personal de Google Drive, Dropbox u otro servicio para compartir archivos.
- Descargar información en un ordenador personal.
- Utilizar una aplicación de inteligencia artificial para resumir documentos internos.
- Crear una cuenta en una herramienta online para solucionar una necesidad puntual.
- Utilizar aplicaciones de mensajería personales para enviar información de trabajo.
Por ejemplo, un empleado puede enviar un documento corporativo a su correo personal para terminarlo desde casa, compartir archivos mediante una cuenta gratuita de almacenamiento en la nube o utilizar una aplicación de inteligencia artificial para resumir información interna.
¿El trabajador pretende poner en riesgo a la empresa? Normalmente no. Busca trabajar más rápido o solucionar una necesidad concreta. Sin embargo, INCIBE advierte de que el uso de sistemas, dispositivos y aplicaciones no autorizados puede provocar pérdida de información, accesos indebidos y brechas de seguridad.
En muchos casos, quien utiliza estas herramientas no pretende poner en riesgo a la empresa. Simplemente busca una forma rápida de completar una tarea cuando las herramientas corporativas no están disponibles, resultan poco prácticas o no cubren una necesidad concreta.
Precisamente por eso, el Shadow IT no debe entenderse únicamente como un problema de comportamiento de los empleados. También puede ser una señal de que existen necesidades tecnológicas que la organización no está cubriendo adecuadamente.
¿Por qué el Shadow IT supone un riesgo para la empresa?
El principal problema del Shadow IT es la pérdida de visibilidad y control sobre la información corporativa.
Cuando un empleado utiliza una aplicación que no ha sido evaluada por la organización, puede resultar difícil determinar qué medidas de seguridad aplica el proveedor, dónde se almacenan los datos, qué permisos tiene la aplicación o durante cuánto tiempo conserva la información.
Además, una herramienta no autorizada puede introducir riesgos relacionados con:
- Pérdida o filtración de información.
- Accesos no autorizados.
- Robo de credenciales.
- Malware y otras amenazas.
- Exposición de datos personales.
- Pérdida de control sobre documentos corporativos.
- Incumplimiento de las políticas internas de seguridad.
- Dependencia de cuentas personales que la empresa no puede gestionar.
Por ejemplo, un empleado podría descargar una base de datos de clientes en su ordenador personal para avanzar una tarea desde la playa.
Aunque su intención sea simplemente trabajar, la organización puede desconocer si ese dispositivo está actualizado, quién tiene acceso a él, qué medidas de protección utiliza o si los archivos se sincronizan automáticamente con otros servicios.
¿Por qué aumenta el Shadow IT durante el trabajo en remoto?
En verano, el riesgo se multiplica. El teletrabajo y el trabajo desde ubicaciones externas pueden favorecer la aparición de Shadow IT porque cambian las condiciones habituales de trabajo.
Durante las vacaciones aumenta el trabajo desde ubicaciones externas y se relajan algunas rutinas. Los empleados utilizan ordenadores personales, conectan dispositivos corporativos a redes desconocidas o recurren a herramientas gratuitas cuando no pueden acceder cómodamente a los sistemas habituales. Ante una dificultad, la solución más rápida puede parecer utilizar una herramienta alternativa.
El problema aparece cuando esa solución improvisada implica sacar información del entorno corporativo sin que la organización pueda controlar qué sucede después.
Por eso, la seguridad del teletrabajo no depende únicamente de disponer de una VPN o de utilizar contraseñas seguras. También requiere controlar qué dispositivos, aplicaciones, servicios y cuentas intervienen en el tratamiento de la información corporativa.
Imagina que una persona descarga una base de datos de clientes en su portátil personal para avanzar una tarea desde la playa. Aunque el equipo tenga buenas intenciones, la empresa ya no controla si está actualizado, si tiene antivirus, quién más lo utiliza o dónde se guarda esa información.
El riesgo no está únicamente en sufrir un ciberataque. También puede resultar imposible saber qué datos han salido de la organización, cuánto tiempo permanecerán almacenados o si el proveedor de la aplicación los utilizará para otros fines.
Aplicaciones rápidas, consecuencias duraderas
Las herramientas gratuitas de transferencia de archivos, mensajería, edición de documentos o inteligencia artificial resultan cómodas. Pero ¿sabemos dónde almacenan la información, qué permisos solicitan o qué ocurre con los archivos después de utilizarlos?
Cuando una aplicación no ha sido evaluada, puede carecer de cifrado adecuado, utilizar contraseñas débiles o conservar copias de los documentos. Además, si el empleado abandona la empresa, la información podría permanecer vinculada a su cuenta personal.
La protección de los datos personales durante el teletrabajo exige mantener medidas de seguridad adecuadas y controlar los accesos, dispositivos y herramientas utilizados.
Shadow IT e inteligencia artificial: un riesgo cada vez más relevante
La generalización de las herramientas de inteligencia artificial ha añadido una nueva dimensión al Shadow IT.
Un empleado puede recurrir a una herramienta de IA generativa para resumir un contrato, traducir un documento, analizar una base de datos o mejorar un texto.
La herramienta puede resultar útil, pero antes de introducir información corporativa conviene saber qué datos se están enviando, quién los procesa, qué condiciones aplica el proveedor y si la información puede almacenarse o reutilizarse.
El riesgo aumenta cuando se introducen datos personales, información financiera, contratos, credenciales, información estratégica o cualquier otro contenido confidencial.
Por eso, las organizaciones deberían establecer criterios claros sobre qué herramientas de inteligencia artificial están autorizadas y qué tipo de información puede introducirse en ellas.
¿Es suficiente con prohibir las aplicaciones no autorizadas?
Existe una idea equivocada: basta con bloquear todas las aplicaciones no autorizadas. Una política excesivamente rígida puede producir el efecto contrario. Si las herramientas corporativas son lentas o dificultan el trabajo, los empleados buscarán alternativas por su cuenta. Prohibir sin conocer por qué los empleados recurren a ellas puede provocar que el problema se desplace a otras herramientas.
La empresa debe entender por qué surge el Shadow IT. ¿Faltan herramientas? ¿Los accesos remotos son complicados? ¿Los empleados desconocen qué aplicaciones pueden utilizar?
Antes de establecer restricciones, conviene:
- Definir herramientas autorizadas para compartir archivos, comunicarse y trabajar en remoto.
- Proteger los accesos mediante autenticación multifactor y conexiones seguras.
- Gestionar y actualizar los dispositivos corporativos.
- Limitar el uso de equipos, correos y cuentas personales.
- Formar a los empleados con ejemplos prácticos.
- Detectar aplicaciones y servicios no autorizados utilizados en la organización.
La supervisión continua y el uso de soluciones que permitan conocer las aplicaciones en la nube utilizadas ayudan a recuperar visibilidad sobre el entorno corporativo.
La gestión del Shadow IT debe combinar políticas, tecnología, formación y supervisión.
Flexibilidad sí, pero con control
El trabajo en remoto no tiene por qué suponer una pérdida de seguridad. El verdadero problema aparece cuando la empresa desconoce qué herramientas utiliza su equipo y dónde termina la información corporativa.
Antes de las vacaciones, conviene recordar las normas de trabajo remoto, revisar los accesos y ofrecer alternativas seguras que resulten realmente útiles. Porque el Shadow IT no se reduce simplemente prohibiendo: se controla combinando tecnología, formación y procedimientos claros.
Y una pregunta importante: ¿estamos proporcionando a nuestros empleados herramientas suficientemente útiles para que no necesiten buscar alternativas por su cuenta?
El Shadow IT se controla combinando visibilidad, tecnología, formación y procedimientos claros. Porque si la única respuesta de la empresa es «no puedes utilizar esa aplicación», pero no existe una alternativa práctica, es probable que el problema simplemente cambie de nombre.
Más preguntas sobre Shadow IT y trabajo en remoto
¿Qué es el Shadow IT?
El Shadow IT es el uso de aplicaciones, dispositivos, servicios o sistemas tecnológicos para trabajar sin que hayan sido autorizados o supervisados por la organización. Puede incluir desde cuentas personales de almacenamiento hasta herramientas de inteligencia artificial utilizadas para procesar información corporativa.
¿Cuáles son los principales riesgos del Shadow IT?
Los principales riesgos son la pérdida de control sobre la información, accesos no autorizados, filtraciones de datos, exposición de información personal o confidencial, robo de credenciales, uso de servicios que no cumplen los requisitos de seguridad de la empresa y dificultades para recuperar o eliminar la información.
¿Por qué el trabajo en remoto favorece el Shadow IT?
El trabajo en remoto puede hacer que los empleados recurran a herramientas alternativas cuando tienen dificultades para acceder a los sistemas corporativos o necesitan resolver una tarea rápidamente. El uso de dispositivos personales, redes externas y servicios online puede aumentar las posibilidades de que aparezcan herramientas no autorizadas.
¿Es Shadow IT utilizar ChatGPT u otra herramienta de inteligencia artificial para trabajar?
Puede serlo si la herramienta no ha sido autorizada por la organización. El uso de inteligencia artificial para fines profesionales debería estar sujeto a las políticas de la empresa, especialmente cuando se introducen datos personales, información confidencial, contratos, información financiera o cualquier otro contenido sensible.
¿Cómo puede una empresa detectar el Shadow IT?
Puede utilizar herramientas de supervisión y descubrimiento de aplicaciones para identificar servicios y aplicaciones utilizados por los empleados. También puede analizar los accesos a servicios en la nube, revisar los dispositivos corporativos y establecer procedimientos para solicitar y autorizar nuevas aplicaciones.
¿Prohibir las aplicaciones no autorizadas elimina el Shadow IT?
No necesariamente. Las restricciones pueden ser necesarias para determinados servicios, pero si los empleados no disponen de alternativas adecuadas pueden buscar otras formas de realizar su trabajo. Una estrategia eficaz combina controles técnicos con herramientas corporativas útiles, formación y procedimientos claros.
¿Qué medidas puede adoptar una empresa para reducir el Shadow IT?
Entre las principales medidas están definir aplicaciones autorizadas, proteger los accesos mediante autenticación multifactor, gestionar los dispositivos corporativos, limitar el uso de cuentas personales, formar a los empleados y establecer mecanismos para detectar aplicaciones y servicios no autorizados.
¿Qué relación existe entre Shadow IT y protección de datos?
Cuando los empleados utilizan servicios no autorizados para almacenar o procesar información personal, la organización puede perder parte del control sobre esos datos. Por ello, el Shadow IT debe considerarse también dentro de la gestión de la seguridad de la información y de la protección de datos.