Shadow IT: la práctica de los empleados al teletrabajar que amenaza la ciberseguridad de las empresas
El teletrabajo llegó como una solución temporal para combatir la crisis sanitaria mundial desatada por la pandemia de la Covid-19 y, lejos de desaparecer, ha echado raíces en el mercado laboral español. Actualmente, más de la mitad de los trabajadores españoles continúa desempeñando sus funciones a distancia, disfrutando de una flexibilidad que facilita la conciliación entre la vida profesional y personal. Pero, junto a sus ventajas, el teletrabajo también ha traído consigo nuevos desafíos en materia de ciberseguridad, como el Shadow IT, una práctica sobre la que ha alertado Secure&IT, compañía especializada en seguridad de la información.
Shadow IT: el uso de herramientas fuera del control de las empresas
Según explica la compañía, el Shadow IT se refiere al uso extendido de software, servicios o dispositivos digitales por parte de los empleados, sin el conocimiento ni la aprobación del área de tecnología de sus organizaciones.Esta práctica se intensifica durante los meses de verano, cuando el teletrabajo aumenta, y suele responder a una necesidad práctica, como mejorar la productividad del trabajo remoto o facilitar la colaboración. Sin embargo, muchas de estas aplicaciones permanecen operativas tras el regreso de las vacaciones, sin visibilidad ni aprobación oficial, lo que implica un riesgo significativo para la seguridad y el cumplimiento normativo de las organizaciones.
«Lo preocupante no es solo que se usen herramientas no autorizadas, sino que muchas veces se comparten datos sensibles o credenciales sin los mínimos requisitos de seguridad. Al volver de vacaciones, estas soluciones siguen activas, pero nadie las controla», subraya Francisco Valencia, director general de Secure&IT.
«El problema se incrementa cuando los empleados se reincorporan en septiembre y esas soluciones siguen activas, operando fuera del perímetro de control de la organización, sin el conocimiento del propio empleado ni tampoco de la empresa», apunta Valencia.
Ocho de cada diez empleados practican Shadow IT
Diversos estudios muestran el alcance real del fenómeno Shadow IT. Según sus datos, en 2025 más del 80% de los empleados ha utilizado alguna aplicación no autorizada en el entorno laboral. Por otra parte, Gartner estima que entre el 30% y el 40% del gasto tecnológico de las grandes empresas corresponde a este tipo de soluciones fuera del radar de los departamentos de TI.
Y el impacto va más allá de lo económico, puesto que algunos fabricantes aseguran que el 65% de las organizaciones que utilizan Shadow IT han sufrido fugas de datos directamente relacionadas con estas prácticas. Además, se prevé que, para 2027, el 75% de los trabajadores continuará utilizando servicios digitales no gestionados por su área técnica, lo que confirma una tendencia ascendente que requiere una respuesta urgente.
Riesgos para la seguridad y el cumplimiento legal
Desde Secure&IT advierten que el Shadow IT supone diversos riesgos para las organizaciones. Entre ellos destaca la pérdida de control de los datos por parte del departamento de seguridad, que compromete su confidencialidad al estar alojados en servicios sin garantías ni contratos adecuados. Con ello, se dificulta además el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) o el Esquema Nacional de Seguridad (ENS), ya que las organizaciones no pueden garantizar el tratamiento adecuado de la información cuando esta escapa a su control.
«En caso de incidente, la situación se agrava. Si una brecha de seguridad ocurre en una plataforma no registrada, puede pasar desapercibida durante semanas, llegando a complicar la respuesta, el análisis forense y la notificación legal de las compañías«, explica Francisco Valencia.
Cómo combatir el Shadow IT
Ante este escenario, Secure&IT recomienda a las empresas que aprovechen el regreso de las vacaciones para detectar, regular y reducir el Shadow IT. Para ello, insta a realizar un ejercicio de revisión interna que incluya:
- Elaborar un inventario de herramientas utilizadas por los distintos departamentos, especialmente durante el verano.
- Realizar una auditoría de los flujos de datos corporativos.
- Verificar y controlar de los dispositivos conectados a la red empresarial.
«Desde Secure&IT, también aconsejamos reforzar las campañas de concienciación entre el personal y establecer mecanismos de monitorización continua, como herramientas de descubrimiento de aplicaciones (CASB) o sistemas de protección de datos (DLP), que permitan recuperar la visibilidad y asegurar que todos los procesos digitales cumplen con los requisitos de seguridad establecidos», concluye Valencia.