Cómo abrazar el Shadow IT sin comprometer la seguridad

Es absolutamente crítico que un departamento de IT controle de cerca lo que los empleados pueden acceder y descargar en su equipo de trabajo, ¿no es así? Todos saben que permitir que el personal tenga acceso sin restricciones a cualquier sitio web y traer aplicaciones de terceros a la red sin restricciones es una receta para el desastre. O al menos, esa ha sido la forma de pensar predominante en cuanto a la seguridad de IT durante muchos años.

Pero a medida que cada vez más personas recurren a aplicaciones basadas en la nube para optimizar sus negocios, el concepto de Shadow IT se está convirtiendo en una herramienta cada vez más vital en el lugar de trabajo moderno.

Investigaciones muestran que el 77% de los profesionales encuestados creen que su organización podría obtener una ventaja al adoptar soluciones de Shadow IT, definidas como la práctica de utilizar servicios, dispositivos, aplicaciones, sistemas y software de IT sin la aprobación directa del departamento de IT de una organización. Sin embargo, aún existe cierta vacilación en adoptar completamente este enfoque, y las organizaciones deben evaluar los beneficios y riesgos antes de decidir si adoptar plenamente la Shadow IT.

La era de las soluciones no autorizadas

Aunque los sistemas y aplicaciones externas no necesariamente están defectuosos o representan una amenaza directa, aprovechar la Shadow IT implica estar cómodo con eliminar cualquier supervisión explícita sobre lo que los empleados están utilizando y accediendo. Esto podría crear un riesgo significativo para la organización.

Sin embargo, participar en la Shadow IT puede llevar a operaciones eficientes. Por ejemplo, un empleado puede descubrir una mejor herramienta de marketing para ejecutar una campaña y, si tiene éxito, esto puede extenderse a otros miembros del departamento y convertirse en una herramienta significativa en el futuro.

Cómo funciona el protocolo FTP y cómo resolver problemas relacionados con él

Ahora vivimos en una era de aplicaciones basadas en la nube y ya no solo accedemos a sistemas y aplicaciones disponibles proporcionados por los departamentos de IT responsables de la adquisición de software. Como tal, los profesionales deben identificar soluciones que ayuden a defender su red si desean disfrutar de los beneficios de un enfoque de Shadow IT. Aquí es donde entra en juego el zero trust.

El desafío del zero trust

Desde que Forrester Research acuñó el modelo en 2010, el zero trust ha demostrado su capacidad para proporcionar a las organizaciones orientación sobre cómo gestionar y mitigar continuamente los riesgos en constante evolución para proteger sus activos digitales y contrarrestar los efectos adversos de la llamada "bad shadow IT". A pesar de esto, el zero trust también presenta muchos riesgos para una organización, que a menudo pueden superar los resultados positivos.

Al elegir adoptar el zero trust, los operadores deben tratar continuamente todo como una entidad desconocida para garantizar completamente un comportamiento confiable. Por un lado, proporciona un método eficiente para detener o limitar las amenazas cibernéticas en comparación con los modelos de seguridad basados en perímetros estructurados y a menudo restrictivos e ineficaces.

También garantiza una aproximación basada en riesgos para implementar la ciberseguridad en un sistema o aplicación, brindando información sobre una red corporativa para monitorear y otorgar acceso solo a recursos específicos. Además, la necesidad de acceder a recursos específicos, ya sea en la oficina o en casa, nunca ha sido mayor con una fuerza laboral híbrida en constante crecimiento. El zero trust permite a los trabajadores acceder de forma segura a la red corporativa desde cualquier lugar y en cualquier momento.

Sin embargo, establecer una red de zero trust presenta una serie de desafíos que deben ser abordados para que la red opere de forma segura.

Para implementar un programa de zero trust a largo plazo, se requiere que las organizaciones tengan un inventario detallado de aplicaciones, dispositivos, redes, activos de datos, derechos de acceso, usuarios y otros recursos, junto con los recursos financieros y no financieros necesarios para su apoyo. Además, debe haber una comunicación clara dentro de la organización entre los ejecutivos y el equipo de ciberseguridad sobre por qué se está introduciendo una nueva arquitectura de seguridad.

Microsoft lanza servicio gratuito de almacenamiento en la nube para usuarios de Windows

Consecuencias de la "bad shadow IT"

Incluso con los recursos adecuados para ejecutar un programa de zero trust, la "bad shadow IT" aún puede representar riesgos graves para la infraestructura de la red de una organización. Si los procedimientos externos de respaldo y recuperación no reciben tanta atención como los controlados por el equipo de IT, es posible que se pierdan datos esenciales en caso de incidente.

Es responsabilidad del empleado o departamento responsable del recurso encargarse de esto. Sin la estrategia adecuada de respaldo y recuperación, aumenta la posibilidad de pérdida de datos y, en muchos casos, se requerirá un entrenamiento frecuente.

El departamento de IT tampoco tiene control sobre quién está accediendo a los recursos con la Shadow IT. Ya sea que se trate de datos específicos a los que los empleados no deberían tener acceso o ex empleados que puedan acceder a un sistema a pesar de haber dejado una organización, no hay control sobre quién tiene una cuenta ni qué pueden hacer estas cuentas, lo que hace que sea cada vez más difícil monitorear los datos, con poca evidencia de si ha habido un grave incumplimiento de seguridad.

Adopta la Shadow IT mediante la implementación de una plataforma de gestión de vulnerabilidades

El uso de una plataforma de gestión de vulnerabilidades confiable es la clave para disfrutar de los beneficios de la Shadow IT sin recurrir a un enfoque de zero trust. Una plataforma como esta escaneará de manera proactiva la red de una organización, por lo que si un activo entra, puede descubrir todos los sistemas y aplicaciones en funcionamiento, ya sean autorizados o no autorizados, y ofrecer los pasos apropiados para manejar los riesgos más vulnerables en la red. Nunca se sabe cuándo ocurrirá una vulnerabilidad, por lo que escanear constantemente de manera proactiva la red permite comprender y gestionar los activos de manera continua.

Por supuesto, es importante cubrir los activos técnicos, pero una organización no puede afirmar honestamente que está gestionando eficazmente su riesgo si no tiene en cuenta los activos humanos. El 82% de las violaciones de datos ocurren debido a errores humanos, por lo que para gestionar eficientemente los riesgos de los activos, se debe considerar el elemento humano al evaluar la ciberseguridad de una organización.

Las organizaciones pueden adoptar la Shadow IT siempre y cuando se haga correctamente, en lugar de adoptar medidas restrictivas como el zero trust.

Cómo evitar que el archivo de registro de transacciones en SQL Server crezca demasiado grande

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Nube, allí encontraras muchos artículos similares a Cómo abrazar el Shadow IT sin comprometer la seguridad , tenemos lo ultimo en tecnología 2023.