Shadow IT: La Amenaza Interna Silenciosa en Entornos de Trabajo Remoto

Las personas, como la electricidad, tienden a tomar el camino de menor resistencia. Durante el último año, las empresas de todo el mundo se apresuraron a configurar infraestructura remota para capear la tormenta del coronavirus. Para muchos empleados, la transición abrupta de la oficina a trabajar completamente remoto ha sido una experiencia mayormente no guiada. Según el estudio de trabajo desde casa de IBM Security, más de la mitad de los empleados remotos encuestados no han recibido ninguna política de seguridad nueva sobre cómo trabajar de forma segura desde casa. Con más del 34% de todos los empleados esperados para ser totalmente remotos para fin de año, los departamentos de TI están corriendo contra el reloj para implementar sistemas de infraestructura remota seguros que satisfagan las necesidades de sus empleados.

En ausencia de dirección adecuada, los trabajadores han adoptado un flujo de trabajo híbrido de nuevas soluciones de trabajo remoto, aplicaciones de software como servicio (SaaS) basadas en navegador, y herramientas de consumo reutilizadas para comunicación, intercambio de archivos y colaboración. Cuando se combinan con BYOD y supervisión de seguridad laxa, estos comportamientos crean la oportunidad perfecta para actores maliciosos externos que buscan beneficiarse del cibercrimen.

La Amenaza de Shadow IT

«Shadow IT» es el término general usado para describir aplicaciones y dispositivos, en gran medida SaaS, que los empleados configuran y usan sin permiso de TI o controles corporativos. Desde dispositivos no seguros hasta intercambio de archivos en nube pública y correo electrónico personal, muchos empleados remotos han elegido el camino de menor resistencia y adoptado Shadow IT. Estos comportamientos de trabajo altamente inseguros tienen el potencial de poner datos corporativos en riesgo, y representan una de las mayores vulnerabilidades potenciales en TI hoy.

Durante el próximo año, los equipos de TI empresariales se verán obligados a reformar efectivamente los sistemas e infraestructura apresurados puestos en marcha durante 2020, mientras toman en cuenta las nuevas necesidades de los trabajadores remotos existentes. Este acto de equilibrio requerirá nuevas estrategias y enfoques para lidiar con tanto la seguridad como los comportamientos de usuarios.

Según un estudio de 2020 de Cyberark, la conveniencia a menudo supera a la seguridad para padres que trabajan. A medida que las personas han pasado a trabajar desde casa a tiempo completo, cuidar niños y familiares puede ocupar más espacio mental que las mejores prácticas de ciberseguridad. Como resultado, el 93% de los padres que trabajan han reutilizado contraseñas a través de aplicaciones y dispositivos, y el 29% de los padres que trabajan admitieron que permiten a otros miembros de su hogar usar sus dispositivos corporativos para actividades como tareas escolares, juegos y compras. Estas actividades inseguras pueden tener repercusiones mayores.

En un informe reciente de Wandera, el 52% de las organizaciones reportaron experimentar un incidente de malware en un dispositivo remoto en 2020, arriba del 37% en 2019. Aún más alarmantemente, de los dispositivos comprometidos por malware en 2020, el 37% continuó accediendo a correos electrónicos corporativos después de ser comprometidos, y el 11% continuó accediendo a almacenamiento en la nube.

Imagine que uno de sus desarrolladores de software tiene malware en su portátil. Ahora los tiene escribiendo código esencial en un dispositivo desprotegido. No tiene idea de a dónde va ese código. Cuando publique ese código, puede haberlo limpiado, pero alguien más podría seguir teniéndolo.

El Peligro de Datos No Monitoreados

Lo que muchos no reconocen es que Shadow IT no se trata solo de alguien usando su Dropbox o Gmail personal; también se trata de dar a alguien acceso a una aplicación basada en web como Salesforce y no tener control. ¿Qué sucede con esos datos una vez que residen localmente?

Según un estudio reciente de Netwrix, el 91% de las organizaciones afirman almacenar datos sensibles y regulados solo en ubicaciones seguras. Sin embargo, el 24% de ellos admitió haber descubierto tales datos fuera de ubicaciones designadas en el último año.

Crear entornos digitales seguros requiere considerar el denominador común más bajo. Con la cultura de trabajo desde casa sin visibilidad de irse pronto, es cada vez más crítico proporcionar a los empleados soluciones que tengan en cuenta algunos de los hábitos menos halagadores de la humanidad. Si Shadow IT no es considerado seriamente por equipos de TI corporativos y CIOs, entonces su información más sensible está en gran peligro.

Todo el hardware y soluciones de software en el mundo no pueden proteger su negocio si sus empleados no los usan. La realidad es que si una organización falla en proporcionar las herramientas y capacitación correctas a sus empleados, tomarán el camino de menor resistencia, y dejarán datos sensibles en riesgo. Capacitar a las personas en las herramientas que se les dan es tan crucial como darles el software en primer lugar. Si es demasiado desafiante hacer funcionar el software, la tentación de simplemente acceder a la API de la empresa desde Chrome siempre estará en el fondo de su mente. Educar a los empleados en mejores prácticas, y construir una infraestructura de TI alrededor de sus necesidades, debería servir como piedra angular para todos los CIOs y departamentos de TI.

Michael Abboud es fundador y CEO de TetherView, un proveedor de nube privada.