¿Conoces todas las herramientas, aplicaciones y servicios que utilizan tu personal y tus voluntarios? Si tu equipo está usando herramientas que no están controladas ni autorizadas por tu organización, es posible que estés lidiando con la TI en la sombra.
La TI en la sombra es un término general que describe la tecnología que utilizan empleados y voluntarios sin haber sido evaluada, autorizada o aprobada por la organización. Puede tratarse de una aplicación de gestión de proyectos que usa el equipo de marketing porque no le convence la solución corporativa. También puede ser una herramienta de diseño que el equipo creativo paga de su propio bolsillo sin que tú lo sepas. O incluso una cuenta personal de correo electrónico utilizada para enviar archivos o comunicaciones de la junta directiva relacionadas con la organización.
Como su nombre indica, permanece oculta, y eso puede exponerte a numerosos riesgos que afecten al funcionamiento de tu entidad.
Los riesgos de la TI en la sombra
Seguridad
La tecnología no autorizada puede no cumplir las políticas de seguridad informática de tu organización. Por ejemplo, si tu entidad exige autenticación multifactor (MFA) o gestiona las cuentas de usuario mediante inicio de sesión único (SSO), una aplicación no autorizada puede quedar fuera de esos controles.
Otro ejemplo habitual es que la herramienta o el servicio no autorizado no esté configurado adecuadamente para aplicar permisos según funciones o responsabilidades. Si algunos usuarios reciben privilegios excesivos, podrían acceder a la gestión de facturación de la aplicación o a datos que no deberían estar disponibles para su puesto.
Cuando un miembro del personal abandona la organización, sus cuentas en herramientas de TI en la sombra pueden permanecer activas porque el departamento de TI desconoce su existencia. Esto aumenta la vulnerabilidad de los datos: una cuenta olvidada podría ser comprometida sin que nadie lo detecte.
Por último, si tu organización debe cumplir normativas de protección de datos como la HIPAA, la TI en la sombra puede dificultar el cumplimiento de esas obligaciones regulatorias.
Gobernanza de datos
Cuando los datos se almacenan en sistemas no aprobados, resulta mucho más difícil aplicar las políticas de propiedad, conservación y gestión de la información. No sabes qué datos se están almacenando, dónde se encuentran ni quién tiene acceso a ellos. Tampoco sabes si el personal está conservando la información durante el tiempo requerido o, por el contrario, almacenando datos que no debería conservar.
Además, al no existir una gestión centralizada de las cuentas de usuario, aumenta el riesgo de robo de información. Imagina a un empleado descontento que sigue teniendo acceso a datos alojados en herramientas de TI en la sombra después de abandonar la organización. El potencial de abuso es considerable.
Finanzas
En algunos casos, el personal puede estar pagando herramientas y servicios de los que la organización no tiene conocimiento, y esas herramientas podrían llegar a ser esenciales para los flujos de trabajo. Sin embargo, si no sabes que existen, tampoco sabes cuánto cuestan ni puedes incluir esos gastos en el presupuesto.
Continuidad del negocio
Este es uno de los riesgos más importantes. Con la TI en la sombra, los procesos empresariales suelen estar insuficientemente documentados, por lo que cuando se produce rotación de personal se pierde una cantidad significativa de conocimiento institucional. Y si quienes gestionaban esos sistemas abandonan la organización, ¿quién asumirá esa responsabilidad? ¿Podrá otra persona acceder a los datos? ¿Qué ocurre si quien pagaba el servicio deja de hacerlo?
Una organización que depende de procesos no documentados y herramientas no autorizadas es como un castillo de naipes: tarde o temprano terminará derrumbándose. El trabajo esencial para tu misión merece algo mejor.
Cómo prevenir la TI en la sombra
Si gestionas la tecnología de tu organización, hay varias medidas que puedes adoptar para evitar que las soluciones de TI en la sombra se consoliden.
Para empezar, asegúrate de contar con una política clara y aplicable sobre el uso aceptable de los recursos tecnológicos. Define límites precisos sobre qué usos son adecuados o inadecuados para los equipos, sistemas y datos de la organización. Además, deja claras las consecuencias de incumplir esta política. No se trata de ejercer control, sino de proteger los datos y garantizar la continuidad operativa ante posibles interrupciones.
También puede ser útil proporcionar a tu personal un catálogo de todas las aplicaciones, herramientas, soluciones y servicios aprobados. De esta manera, el equipo sabrá qué recursos tiene a su disposición antes de buscar soluciones externas para resolver un problema operativo. Por ejemplo, en TechSoup mantenemos un listado interno de todas las aplicaciones y servicios disponibles, junto con ejemplos de uso para cada uno.
Al mismo tiempo, no tengas miedo a la innovación. Considera la posibilidad de incluir en la política de uso aceptable un procedimiento para que el personal pueda probar o solicitar nuevas herramientas. Si decides hacerlo, establece directrices claras sobre cuándo y cómo puede estar permitido utilizar una herramienta no autorizada y quién tiene capacidad para aprobarla.
Por ejemplo, podrías permitir que los empleados experimenten con nuevas aplicaciones de IA siempre que no compartan información confidencial o sensible ni las utilicen para procesos críticos de la organización.
Por último, mantén una mentalidad abierta. Fomenta una cultura organizativa donde se valore la innovación y donde las personas se sientan cómodas proponiendo nuevas soluciones. Facilita que el personal sugiera herramientas y justifique su adopción mediante argumentos de negocio.
Ya tengo un problema de TI en la sombra. ¿Qué hago ahora?
Si tu personal ya está utilizando soluciones tecnológicas no documentadas, ¿qué puede hacer una organización sin ánimo de lucro?
Un buen primer paso consiste en pedir al personal que comunique voluntariamente qué herramientas no oficiales está utilizando, cómo las utiliza y qué costes asociados está asumiendo. Deja claro que no se trata de una medida punitiva, sino de comprender mejor lo que sucede dentro de la organización.
A partir de ahí, podrás evaluar cada producto o solución para determinar si encaja en tu estrategia tecnológica global y responde a las necesidades de la entidad. Recuerda a los usuarios que el departamento de TI está para facilitar su éxito, no para impedirlo.
En definitiva, actuar con agilidad y generar confianza son factores clave para sacar la tecnología de las sombras y traerla a la luz.
Michael Enos, vicepresidente de Seguridad, Infraestructura y Cumplimiento de TechSoup, contribuyó a esta entrada del blog.
Thumbnail photo: Shutterstock
