Hacia un futuro sin contraseñas: el papel de la gestión de accesos privilegiados
Por qué el camino hacia un mundo sin contraseñas empieza por las cuentas privilegiadas, y una hoja de ruta práctica en cinco pasos.
Lo esencial
- El Shadow IT surge para resolver necesidades reales con rapidez, no por mala intención.
- Sus riesgos: fuga de datos, incumplimiento, cuentas huérfanas y costos duplicados.
- Se descubre con registros de DNS y proxy, CASB, inicios de sesión SSO y análisis de gastos.
- El objetivo no es bloquear todo, sino clasificar: aprobar, tolerar con controles o retirar.
En casi cualquier organización existen aplicaciones y servicios en la nube que el área de tecnología no conoce: una herramienta para compartir archivos, un gestor de proyectos contratado con tarjeta corporativa o, cada vez más, asistentes de inteligencia artificial donde los colaboradores pegan información de la empresa. A eso se le llama Shadow IT, y su versión más reciente, Shadow AI.
Qué es el Shadow IT
Es el uso de software, servicios en la nube, dispositivos o cuentas sin la aprobación ni la supervisión de TI y seguridad. No siempre es malicioso; con frecuencia es la forma más rápida que encontró un equipo para resolver un problema real.
El riesgo aparece porque lo que no se ve no se puede proteger: no hay contrato revisado, no hay control de accesos, no hay respaldo y nadie sabe qué datos salieron de la organización.
Riesgos para el negocio
- Fuga de información: datos de clientes, contratos o propiedad intelectual almacenados en servicios sin evaluar.
- Incumplimiento: obligaciones contractuales, de privacidad o sectoriales que no se pueden demostrar.
- Cuentas huérfanas: accesos que siguen activos cuando la persona ya dejó la empresa.
- Costos duplicados: varias áreas pagan por herramientas que hacen lo mismo.
- Superficie de ataque: integraciones y permisos otorgados a aplicaciones de terceros sin revisión.
Cómo descubrirlo
El descubrimiento combina fuentes técnicas y de negocio. Ninguna es suficiente por sí sola:
- Registros de DNS y del proxy o puerta de enlace web segura (SWG): muestran a qué servicios se conectan los equipos y con qué frecuencia.
- Un agente de seguridad de acceso a la nube (CASB): identifica aplicaciones SaaS, clasifica su riesgo y detecta cargas de información.
- Registros de inicio de sesión único (SSO) y del correo: revelan aplicaciones conectadas con cuentas corporativas.
- Análisis de gastos: tarjetas corporativas y reembolsos exponen suscripciones que nunca pasaron por compras.
- Conversación con las áreas: una encuesta breve y sin culpas suele revelar lo que la tecnología no ve.
El objetivo del descubrimiento no es castigar, sino decidir con información.
Del descubrimiento al gobierno
Con el inventario en la mano, cada aplicación debe recibir una decisión explícita:
- Aprobada: se incorpora al catálogo oficial, con contrato, SSO y responsable.
- Tolerada con controles: se permite con restricciones, por ejemplo sin información confidencial o solo en modo lectura.
- Retirada: se bloquea y se ofrece una alternativa aprobada, con migración de datos si hace falta.
Después vienen los controles permanentes: una política de uso aceptable de aplicaciones e inteligencia artificial, filtrado en la puerta de enlace web, prevención de pérdida de datos (DLP) y revisiones periódicas del inventario.
Indicadores para la dirección
- Número de aplicaciones descubiertas frente a aprobadas.
- Aplicaciones de alto riesgo con datos sensibles.
- Porcentaje de aplicaciones integradas al inicio de sesión único.
- Ahorro por consolidación de suscripciones duplicadas.
Conclusión
El Shadow IT es una señal de que el negocio necesita moverse más rápido que sus procesos. La respuesta madura no es prohibir, sino ver, clasificar y ofrecer caminos seguros. Así la productividad y la protección dejan de competir.
Descubra lo que su organización usa sin que TI lo sepa
Inventariamos aplicaciones, clasificamos su riesgo y definimos una política de uso de nube e inteligencia artificial.
Referencia: artículo editorial original de LandoHOUSE, elaborado a partir del tema tratado en Cloudflare — Shadow IT discovery (SASE use case). No es una traducción literal ni implica afiliación con la fuente.