Los riesgos del Shadow IT en las organizaciones
Iñigo Ladrón Morales.jpg)
Curioso término el de Shadow IT. Algo como “Sombra o fantasma de IT”, que viene a consistir en el conjunto de todos los sistemas, servicios, aplicaciones, software y dispositivos que los empleados de una empresa utilizan en ella sin que el departamento de TI sea consciente y quizá incluso sin que sean elementos corporativos o cuyo uso se haya aprobado.
Del mismo modo, aquellos activos digitales, servicios, sistemas y aplicaciones que quizá la empresa utilizó (internamente o hacia el público externo) en el pasado pero que cayeron en el desuso, en la obsolescencia, en el olvido, podrían consistir en parte del “inventariado de Shadow IT” de una compañía, ampliando así la superficie de ataque y exponiéndola a futuros problemas de seguridad.
Esto, al margen de parecer una nimiedad, puede entrañar graves riesgos y amenazas para la ciberseguridad de cualquier organización. Por ese motivo es crítico identificar qué empleados realizan esta actividad, con qué herramientas, cómo, y qué otras herramientas corporativas descontroladas existen para tomar medidas al respecto que eliminen o mitiguen riesgos.
Las políticas y procedimientos establecidos a nivel corporativo, son vitales y de obligatorio cumplimiento para toda la plantilla. En realidad, un empleado que se salte dichas reglas está incurriendo en una falta muy grave, pudiéndosele considerar incluso como un insider.
Asimismo, el mantenimiento (e incluso la retirada) de los activos, servicios, aplicaciones y sistemas en desuso o no actualizados de la organización, es una tarea que debería ser obligatoria para todo departamento de IT que se precie.
Los empleados recurren al Shadow IT como alternativa cuando los servicios, aplicaciones y herramientas corporativas son complejas, difíciles de utilizar, lentas, antiguas, etc. Algunos servicios o aplicaciones habitualmente utilizadas como Shadow IT podrían ser las colaborativas, dispositivos, repositorios o incluso nubes propias personales, servicios de videoconferencia y mensajería, etc., todas ellas no autorizadas previamente por el departamento de TI ni la organización.
Por tanto, el Shadow IT provoca una brecha de seguridad amplia y continua ya que esas herramientas que utilizan los empleados de forma no autorizada, no están controladas, ni gestionadas, siendo imposible mantenerlas y tampoco actualizados. Esto se traduce en que la empresa se encontrará desprotegida ante una posible explotación de vulnerabilidades y otras consecuencias.
Nuestro servicio de Búsqueda de Shadow IT, identifica riesgos a través de la búsqueda de activos e infraestructuras expuestas que no se encuentran bajo el control del área de IT.
¿Qué deberían hacer las organizaciones? El primer paso debería ser la identificación. La búsqueda de Shadow IT requiere que se rastreen y monitoricen proactivamente todas y cada una de las actividades tecnológicas para identificar aplicaciones, servicios y sistemas no autorizados en le organización. Para ello se pueden realizar tareas de:
- Auditoría de software en todos los dispositivos y sistemas corporativos, para identificar aplicaciones no aprobadas.
- Control de acceso para identificar quién tiene acceso a recursos no autorizados.
- Monitorización de los servicios y sistemas en la nube corporativa, para identificar cuentas utilizadas sin permisos.
- Análisis del tráfico de red, en busca de dispositivos y servidores desconocidos no inventariados, conexiones extrañas, comportamientos y patrones inusuales, etc.
Cuando ya conozcamos y tengamos identificados los focos de Shadow IT, deberíamos realzar un análisis de riesgos de cada uno de ellos, determinando si podrían llegar a provocar problemas de accesos indebidos, fuga de datos, agujeros de seguridad debido a vulnerabilidades, etc.
El siguiente paso es la mitigación de riesgos, gracias al conocimiento obtenido previamente y al análisis de lo detectado. Es necesario tomar medidas entre las cuales pueden estar la eliminación de los elementos Shadow IT detectados, la concienciación de empleados, e incluso la aceptación de dichas herramientas y su consistente y segura integración entre las herramientas corporativas de la empresa.
¿Te ayudamos a encontrar os Shadow IT de tu empresa?
Puedes ampliar detalles sobre nuestros servicios visitando la página de Zerolynx
Si lo prefieres, contáctanos y hablamos.
