¿Qué ocurre cuando un empleado utiliza una aplicación que el departamento de TI nunca aprobó? El problema no siempre es la aplicación, sino la falta de visibilidad y control sobre su uso.
En empresas con equipos híbridos, múltiples aplicaciones SaaS y trabajo distribuido, las aplicaciones no autorizadas pueden convertirse en una fuente de riesgos de seguridad, acceso y cumplimiento.
¿Qué son las aplicaciones no autorizadas?
Las aplicaciones no autorizadas son herramientas de software que los empleados utilizan sin que hayan sido evaluadas, aprobadas o incorporadas formalmente al entorno tecnológico de la empresa.
Pueden ser aplicaciones SaaS, extensiones del navegador, herramientas de productividad, servicios de almacenamiento, plataformas de inteligencia artificial o cualquier otro recurso digital utilizado para realizar tareas laborales.
El problema aparece cuando el departamento de TI desconoce:
- Qué aplicaciones están utilizando los empleados.
- Qué información corporativa almacenan o procesan.
- Qué permisos tienen concedidos.
- Quién puede acceder a ellas.
- Qué terceros gestionan los datos.
- Si siguen utilizándose o representan un coste innecesario.
Este fenómeno forma parte del denominado Shadow IT o TI en la sombra.
Para profundizar en este problema, puede consultarse la solución de Sinfopac para controlar el Shadow IT y descubrir aplicaciones no autorizadas.
¿Cómo llegan las aplicaciones no autorizadas a una empresa?
En muchos casos, no existe una intención de incumplir las políticas de seguridad.
Un empleado puede recurrir a una herramienta porque necesita resolver rápidamente una tarea que las aplicaciones corporativas no cubren.
Algunos ejemplos habituales son:
- Utilizar una plataforma de almacenamiento personal para compartir un archivo.
- Instalar una extensión del navegador para automatizar una tarea.
- Crear una cuenta en una herramienta de IA para analizar información.
- Utilizar una aplicación de gestión de proyectos que otro departamento ya emplea.
- Conceder acceso mediante “Iniciar sesión con Google” o Microsoft.
- Contratar individualmente una herramienta SaaS con una tarjeta corporativa.
Desde el punto de vista del usuario, estas acciones pueden parecer inofensivas. Desde el punto de vista de TI, cada una puede crear un nuevo activo digital que necesita ser identificado, evaluado y gobernado.
¿Por qué las aplicaciones no autorizadas representan un riesgo?
El principal problema es la falta de visibilidad.
Una aplicación que no aparece en el inventario tecnológico de la empresa tampoco necesariamente aparece en sus procesos habituales de seguridad, cumplimiento o gestión de accesos.
1. Pueden facilitar la fuga de información
Una aplicación externa puede recibir documentos, credenciales, datos de clientes u otra información corporativa sin que exista una evaluación previa sobre cómo será almacenada y protegida.
2. Pueden crear accesos difíciles de controlar
Cuando una aplicación se conecta mediante una cuenta personal o mediante OAuth, puede conservar permisos sobre recursos corporativos incluso cuando el equipo de TI desconoce que dicha relación existe.
3. Pueden introducir vulnerabilidades
Las aplicaciones y extensiones de terceros pueden presentar vulnerabilidades, configuraciones inseguras o comportamientos maliciosos.
Por este motivo, el control de aplicaciones no debería limitarse al software instalado directamente en los equipos.
4. Pueden dificultar el cumplimiento
Una organización necesita conocer dónde se almacenan sus datos y quién puede acceder a ellos. Las aplicaciones desconocidas dificultan la trazabilidad necesaria para demostrar que existen controles adecuados.
5. Pueden generar costes innecesarios
El Shadow IT también tiene una dimensión financiera.
Distintos departamentos pueden contratar aplicaciones que realizan funciones similares sin que exista una visión centralizada del catálogo SaaS.
6. Pueden permanecer activas después de que cambie la situación del usuario
Cuando una aplicación está vinculada a una cuenta personal o a un acceso que TI no administra, revocar los permisos cuando un empleado cambia de puesto o abandona la organización puede resultar más complejo.
Aplicaciones autorizadas no significa aplicaciones bloqueadas
El objetivo de controlar las aplicaciones no debería ser prohibir cualquier herramienta que no haya sido instalada directamente por TI.
Una estrategia más eficaz consiste en descubrir, evaluar y decidir.
Una aplicación puede clasificarse, por ejemplo, como:
- Autorizada: cumple los requisitos de seguridad y puede utilizarse.
- Aprobable: tiene utilidad empresarial, pero necesita controles adicionales.
- No autorizada: presenta riesgos que impiden su utilización.
- Redundante: duplica funciones de otra herramienta corporativa.
- Desconocida: todavía no existe suficiente información para determinar su riesgo.
Este enfoque permite reducir Shadow IT sin bloquear innecesariamente la productividad.
¿Cómo puede controlar TI las aplicaciones no autorizadas?
El primer paso es obtener visibilidad sobre el ecosistema real de aplicaciones.
Después, el proceso puede estructurarse en cuatro etapas:
Descubrir. Identificar aplicaciones, extensiones y servicios utilizados por los empleados.
Evaluar. Analizar permisos, seguridad, criticidad, tratamiento de datos y utilidad empresarial.
Centralizar. Incorporar las aplicaciones legítimas al entorno tecnológico controlado por TI.
Revocar o bloquear. Eliminar accesos y aplicaciones que presenten un riesgo injustificado.
En este proceso pueden intervenir diferentes tecnologías. SpinOne, por ejemplo, permite analizar el riesgo asociado a aplicaciones y extensiones de terceros en entornos SaaS. JumpCloud permite integrar aplicaciones útiles dentro de un modelo centralizado de identidad, SSO y MFA.
De esta forma, el objetivo no consiste simplemente en descubrir aplicaciones, sino en convertir un ecosistema desconocido en un entorno que TI pueda gobernar.
Shadow IT requiere visibilidad, no solamente políticas
Una política que prohíbe utilizar aplicaciones externas no elimina necesariamente el problema.
Si los empleados continúan utilizando herramientas que TI no puede detectar, la organización seguirá teniendo puntos ciegos.
El control efectivo requiere combinar descubrimiento, evaluación de riesgos, gobierno de aplicaciones e identidad.
La solución de Sinfopac para identificar y controlar aplicaciones no autorizadas aborda precisamente esta necesidad mediante la combinación de capacidades de seguridad SaaS e identidad.
{{fs-button}}