Tecnología de la sombra
Cómo descubrir los riesgos invisibles en su entorno informático y recuperar el control con Versio.io
¿Qué es exactamente la TI en la sombra?
En esencia, la TI en la sombra se refiere al uso de hardware, software o servicios en la nube dentro de una organización sin el conocimiento, la aprobación o la gestión explícitos del departamento central de TI. Se trata de una infraestructura de TI que, literalmente, opera «en la sombra» de la TI corporativa oficial y controlada.
En el pasado, podía tratarse de un único servidor debajo del escritorio, pero la omnipresencia de la computación en la nube y el software como servicio (SaaS) ha multiplicado este fenómeno. Las barreras de entrada son bajas: a menudo, las nuevas herramientas están a solo unos clics de distancia.
Las formas más comunes de TI en la sombra incluyen:
- Software como servicio (SaaS) - Los empleados utilizan herramientas de productividad, plataformas de comunicación y servicios para compartir archivos.
- Hardware - El «Bring Your Own Device» (BYOD) es una fuente importante. Los ordenadores portátiles y los teléfonos inteligentes privados, pero también los puntos de acceso Wi-Fi no autorizados o los dispositivos IoT se conectan a la red de la empresa.
- Infraestructura en la nube (IaaS/PaaS) - Los desarrolladores o departamentos configuran de forma independiente instancias en la nube en AWS, Google Cloud o Microsoft Azure, eludiendo así los controles centrales de seguridad y adquisición de TI.
- Soluciones desarrolladas internamente - Scripts, macros o pequeñas aplicaciones propietarias que permanecen sin documentar y no se mantienen.
Las raíces de la TI en la sombra
Para combatir eficazmente la TI en la sombra, es necesario comprender sus causas. Por lo general, se trata de un síntoma de problemas organizativos más profundos y necesidades no satisfechas.
- La necesidad de velocidad y agilidad - El principal factor es la discrepancia entre la velocidad que requiere el negocio y la de los procesos internos de TI. Los empleados que están bajo la presión de los plazos no pueden esperar a que concluyan los largos procedimientos de aprobación.
- Deficiencias funcionales y falta de facilidad de uso - A menudo, las herramientas proporcionadas oficialmente no cumplen con los requisitos específicos o son demasiado complicadas de usar. Por lo tanto, los empleados buscan alternativas que se adapten mejor a sus necesidades.
- Falta de concienciación sobre los riesgos - Muchos empleados simplemente no son conscientes de los riesgos de seguridad y cumplimiento normativo que están asumiendo. Ven el beneficio inmediato, pero no las consecuencias para toda la empresa. Esto se ve agravado por políticas de TI poco claras u obsoletas.
- La TI en la sombra como indicador de innovación - A veces, la TI en la sombra también pone de manifiesto las carencias de las soluciones de TI oficiales y la necesidad real de herramientas nuevas y más innovadoras.
El verdadero coste de la TI en la sombra
Las ventajas percibidas de la TI en la sombra se ven eclipsadas por una red de riesgos ocultos que afectan a toda la organización. Estos peligros son multidimensionales:
- Riesgos de seguridad - Cada aplicación o dispositivo de hardware no autorizado aumenta la superficie de ataque de la organización. El software sin mantenimiento y sin parches sirve como puerta de entrada para los ciberataques.
- Riesgos de cumplimiento - Almacenar datos confidenciales de clientes en plataformas no autorizadas, como cuentas privadas de Dropbox, o utilizar WhatsApp para comunicaciones comerciales puede constituir una infracción grave del Reglamento General de Protección de Datos (RGPD).
- Riesgos financieros - Los costes incontrolados surgen de licencias de software redundantes cuando varios departamentos compran herramientas similares sin saberlo.
- Riesgos operativos - Se crean silos de datos, lo que dificulta la colaboración entre departamentos. Los conocimientos críticos de la empresa almacenados en cuentas personales se pierden irremediablemente cuando los empleados abandonan la empresa.
Medidas de defensa convencionales
Tradicionalmente, las empresas intentan combatir la TI en la sombra con una combinación de medidas administrativas y técnicas. Entre ellas se incluyen políticas estrictas de uso de la TI, prohibiciones y listas blancas de software permitido. Además, se ofrecen cursos de sensibilización para concienciar a los empleados.
A nivel técnico, se utilizan herramientas como la supervisión de redes y los agentes de seguridad de acceso a la nube para detectar y bloquear el uso de servicios no autorizados.
Sin embargo, la debilidad fundamental de estos métodos es su naturaleza reactiva y su incapacidad para crear una visión única y completa de todo el panorama informático. Crean visiones fragmentadas y dejan un peligroso «vacío de transparencia». La vieja sabiduría de la seguridad informática se aplica aquí más que nunca: no se puede proteger lo que no se ve.
Cómo Versio.io arroja luz sobre la oscuridad
La batalla contra la TI en la sombra no se puede ganar solo con prohibiciones. El enfoque moderno cambia el enfoque del bloqueo reactivo a la gestión proactiva, que se basa en un principio fundamental: la transparencia completa y automatizada. Versio.io ofrece esta transparencia mediante la creación de un «gemelo digital» de todo el panorama de TI: una réplica precisa, dinámica e historizada de todos los componentes de TI.
Caso de uso 1: Inventario completo del entorno informático
Caso de uso 1: Inventario completo del entorno informático
El primer caso de uso es el inventario completo de todo el entorno informático. Versio.io no solo registra los dispositivos finales conocidos, sino que también puede utilizar métodos como el escaneo de puertos para revelar todos los dispositivos que se ejecutan en una red, desde routers y conmutadores hasta impresoras y dispositivos IoT. Por ejemplo, un servidor no autorizado instalado por un empleado y operado «en la sombra» se hace inmediatamente visible como un elemento de configuración (CI) en la base de datos central de gestión de la configuración (CMDB).
Caso de uso 2: Inventario de software y seguimiento de cambios
Caso de uso 2: Inventario de software y seguimiento de cambios
El segundo caso de uso combina el inventario del software instalado con un seguimiento continuo de los cambios. Versio.io no solo registra qué software se está ejecutando en los ordenadores, sino que también registra cuándo alguien instala o cambia algo. Si un empleado utiliza una herramienta no autorizada, esto se ve inmediatamente como un cambio. Esta transparencia permite al departamento de TI responder específicamente al uso de la TI en la sombra y comprender sus causas.
Caso de uso 3: Gobernanza proactiva mediante el seguimiento de políticas
Caso de uso 3: Gobernanza proactiva mediante el seguimiento de políticas
El tercer caso de uso es la aplicación proactiva de la gobernanza mediante la supervisión de políticas. En este caso, un departamento de TI puede definir sus propias reglas (políticas). Por ejemplo, se podría crear una regla que active automáticamente una notificación tan pronto como se detecte la instalación de software no autorizado en el entorno de TI.
De la defensa reactiva a la gobernanza proactiva de las TI
La TI en la sombra no se puede «vencer» solo con una política de prohibición. Las forces que la impulsan, como la necesidad de rapidez y de mejores herramientas, están demasiado arraigadas en el mundo laboral moderno.
El enfoque moderno consiste en crear y aprovechar la transparencia. Al crear un registro completo, en tiempo real e histórico de todo el panorama informático, Versio.io transforma la informática en la sombra de una amenaza desconocida en una parte controlable del ecosistema. Esto permite a las empresas tomar decisiones informadas: aprobar una herramienta útil, ofrecer una alternativa mejor o cerrar específicamente una aplicación de alto riesgo.
Leer más
Configuración mgm. base de datos
Tu única fuente de información veraz. Una base de datos de configuración de sistemas (CMDB) a prueba de auditorías para entornos informáticos complejos. Seguimiento de activos, historial de cambios e informes de cumplimiento normativo a nivel empresarial.
Control de cambios
Auditoría continua de sus activos de TI. Compare los estados reales con los estados deseados (políticas). Cumplimiento normativo y seguridad mediante el seguimiento automatizado de los cambios.
Monitorización de TI
Supervise de forma proactiva su infraestructura de TI, los niveles de servicio y los trabajos por lotes con Versio.io. Capture KPI y SLO en tiempo real para identificar problemas de forma temprana y garantizar la estabilidad de sus activos y CI.
Talk to us
