Muchos usuarios de negocio utilizan en su trabajo diario y de forma autosuficiente las mismas aplicaciones que usan en su vida personal, sin ser conscientes del riesgo que entraña eso para la arquitectura TI empresarial y el interés corporativo.

De hecho, casi todos conocemos casos de departamentos que consumen por su cuenta las soluciones de negocio de tecnologías de la información que necesitan en modalidad autoservicio online, gratuitamente o a golpe de tarjeta de crédito, sin implicar en el proceso al equipo de TI. Así es como se crea la llamada Shadow IT, es decir, recursos IT utilizados habitualmente en las empresas y que el CIO desconoce.

Este escenario dificulta enormemente el trabajo de los responsables de sistemas. Y es que su principal labor consiste en realizar una planificación de la arquitectura TI corporativa que esté alineada con el negocio para impulsarle y que, a la vez, garantice su continuidad así como la máxima protección de los activos empresariales, cumpliendo las normas internas y legislativas oportunas.

Para desplegar entornos TI eficaces, es fundamental conocer y controlar al máximo detalle el parque tecnológico que ‘alimenta’ la organización. De manera que es fácil entender por qué Shadow IT es una verdadera pesadilla para los CIOs hoy en día.

Riesgos y costes de la IT oculta

Son, justamente, los CIOs los primeros que deben ser conscientes de los peligros de no controlar por completo los recursos TI utilizados en la compañía. Y, a la vez, deben explicárselos a los usuarios y responsables de negocio para contar con su complicidad, porque el concepto Shadow IT puede costarle muy caro a las empresas:

• Creación de silos de información. Que cada departamento o usuario utilice aplicaciones de forma individual impide compartir la información a lo largo de la organización. Al no estar conectadas con las soluciones datacenter TI centralizado de servidores y almacenamiento, no es posible el acceso a datos que pueden tener un valor crítico a la hora de tomar decisiones.

• Falta de seguridad. Introducir datos corporativos en programas ajenos a la arquitectura de la información centralizada es muy arriesgado al incumplirse todas las políticas de seguridad corporativa. Los datos de la compañía quedan expuestos fuera del perímetro empresarial, quebrantando normas de buen gobierno y legislativas que pueden acarrear importantes penalizaciones.

• Dependencia de terceros. ¿Qué ocurre si el suministrador de ese recurso deja de existir? ¿Y si es atacado por hackers? ¿Quién accederá a los datos almacenados en él? ¿Y si el empleado que lo utiliza se marcha a la competencia? ¿Podría reutilizar la información?

Claves para recuperar el control

Es necesario que negocio y TI caminen de la mano para definir de forma conjunta las necesidades de arquitectura TI. Un plan de ataque básico pasa por:

• Detectar la IT oculta. ¿Cómo? Existen varias formas. Desde, la más obvia, preguntar a las distintas unidades de negocio por el uso de estos recursos, a cotejar con el departamento financiero compras justificadas como tecnología, o interrogar al equipo de soporte TI sobre el tipo de ayuda que les solicitan los usuarios para descubrir estos usos.

• Aplicar una monitorización continua. Además, es interesante utilizar de forma continua herramientas de monitorización para mapear el hardware y software en uso, y observar la actividad de la red corporativa. En este sentido, es común que el tráfico web sobre el puerto 80 sea utilizado por proveedores de SaaS para atravesar firewalls sin permiso de los usuarios.

• Dialogar continuamente con los usuarios. Muchos de usuarios optan por no contar con el equipo TI porque temen chocar contra una ‘burocracia’ de normas y limitaciones técnicas y presupuestarias que ralentice sus peticiones, sin saber que, muchas veces, sí existen respuestas de TI empresarial para sus necesidades, incluso dentro del propio CPD corporativo.

• Involucrar al equipo directivo. Las soluciones de negocio TI fuera del ámbito del datacenter TI empresarial (apps, programas de código abierto, productos as a Service…) son una gran tentación. Pero, la seguridad de la información y la continuidad de los procesos de negocio deben primar siempre. Por eso es fundamental, que los CIOs involucren a los directivos (CEO, CFO, COOs…) en la determinación de acabar con la amenaza Shadow IT.

Orbit Consulting Group es una empresa especializada en diseñar e implantar soluciones de arquitectura TI para pymes y empresas de Madrid, y el resto de España.