Shadow IT es todo aquel software, hardware o servicio en la nube externo al ámbito corporativo que se utiliza sin conocimiento del Departamento de TI (Tecnologías de la Información) de la empresa. Este “software en la sombra” constituye una peligrosa brecha de seguridad porque puede no estar cubierto por las políticas de seguridad de la empresa.
CONTENIDOS
El problema de ShadowIT
Ejemplos de ShadowIT
Prevención y defensa contra el ShadowIT
Sistemas de seguridad perimetral
El problema de Shadow IT
Según un estudio de Garner, el 41% de los empleados instalaron software externos a la empresa en 2022, y se calcula que un 75% lo hará en 2027. El problema se agrava con la práctica de BYOD (Bring Your Own Device), es decir, aquellos empleados que traen un pendrive, un smartphone o un portátil de su propiedad y lo conectan a la red de la empresa.
El principal problema del software ajenos a la empresa es, en primer lugar, que puede no estar actualizado, y por tanto no está suficientemente protegido frente a virus o intrusiones. Por otra parte, puede no estar diseñado para garantizar la confidencialidad que una empresa requiere. Por último, puede ser un software deliberadamente fabricado para incluir un virus, un ransomware o un troyano.
Ejemplos de Shadow IT
En cuanto al hardware, aun en las empresas que proporcionan diversos dispositivos, es bastante habitual aún que los empleados utilicen un pendrive o un disco duro externo propio para mover documentos entre su domicilio y la empresa.
En cuanto al software, es muy típico que un departamento financiero o de contabilidad utilice sus propias macros de MsExcel para gestionar cálculos complejos.
Respecto al SaaS (Software as a Service) en la nube, son muy utilizadas las herramientas gratuitas para compartir documentos, ya sea Office Online o Google Docs.
Estas herramientas aparentemente inocentes pueden dar muchos problemas. Hay pocos dispositivos más incontrolables y peligrosos que una unidad USB o pendrive, dado que es habitual que los usuarios lo conecten a muchos ordenadores diferentes. Con que uno de esos ordenadores esté infectado, el pendrive podría transmitir el virus. Respecto a las macros de MsExcel, dado que en muchos casos se descargan de sitios de Internet, no todos ellos fiables, pueden perfectamente incluir un virus o troyano. El Software en la nube es, quizá, el Shadow IT más seguro, porque -siempre que sea de fabricantes solventes-, tiene sus propios sistemas de seguridad que impiden los virus o intrusiones.
Prevención y defensa contra el Shadow IT
Para prevenir las brechas de seguridad por Shadow IT, el departamento de TI debe realizar acciones de dos tipos:
Por un lado, a nivel de personal, ha de informar y formar a los empleados en la peligrosidad de estas prácticas. En segundo lugar, debe establecer políticas y procedimientos que ejecuten con firmeza.
Por otro lado, puede establecer mecanismos automáticos de control: sistemas de seguridad que detecten cada vez que se conecte un dispositivo ajeno e impedirlo, prohibiciones a nivel de permisos que impidan que cualquier perfil pueda instalar un software. Y desde luego, lo más seguro es un sistema de seguridad perimetral, con un Firewall de última generación.
Sistemas de Seguridad Perimetral
Estos sistemas permiten:
- Filtrado de URLs: Bloquean automáticamente sitios maliciosos conocidos con herramientas de filtro de contenido granular.
- Control de aplicaciones: Permiten, bloquean o restringen el acceso a las aplicaciones en función del puesto, departamento.
- Controlar consultas DNS: Reducen las infecciones de malware bloqueando la solicitud de DNS maliciosa.
En General, los sistemas EDR (Endpoint Detection and Response), son Sistemas de Detección y Respuesta que controlan todo lo que sucede en una red y tienen una capa de inteligencia que permite correlacionar eventos para impedir brechas de seguridad.
Con este tipo de sistemas evitamos al menos las posibles incidencias por software descargados desde internet o servicios en la nube. Resulta más difícil si no hemos puesto ningún control para los dispositivos externos a la empresa que el usuario conecta a la red de la misma.
Por último, es importante realizar auditorías periódicas tanto de los dispositivos y aplicaciones, como de los sistemas y redes de la empresa. Este tipo de auditoría debe extenderse también a los dispositivos de propiedad personal que el usuario trae a la empresa.
En conclusión, el Shadow IT es un importante riesgo de seguridad para la empresa, y puede producir importantes daños salvo que se conciencie y forme a los usuarios, por un lado, se establezcan políticas de seguridad, por otro, y, por último, se despliegue un sistema de seguridad perimetral que monitorice y proteja toda la red.
Te recordamos que nuestras soluciones de Comunicaciones Seguras y Ciberseguridad pueden ser financiadas con el Kit Digital. A continuación, te dejamos un par de enlaces para que te informes:
