Qué entra en la cuenta
Shadow IT es cualquier servicio, aplicación o infraestructura en uso en la organización sin pasar por el proceso formal de aprobación. Un repositorio en la nube abierto por un equipo de producto, un entorno de preproducción publicado por una agencia, una herramienta de automatización contratada con la tarjeta corporativa de un gerente.
La palabra sombra sugiere ocultación deliberada. En la mayoría de los casos no hay nada de eso.
Por qué aparece
El shadow IT es un síntoma, y el síntoma apunta al proceso de aprobación.
Cuando pedir un entorno lleva tres semanas y la entrega vence el viernes, alguien lo levanta por fuera. Cuando la herramienta homologada no hace lo que el equipo necesita, el equipo contrata otra. Cuando la agencia tiene que publicar una campaña y nadie del lado del cliente responde a tiempo, publica en su propio dominio.
Ninguna de esas decisiones es mala fe. Son personas resolviendo su trabajo con la fricción que encontraron delante. Tratar el shadow IT como problema de disciplina produce una política nueva y ningún resultado, porque no toca la causa.
Por qué es problema de seguridad
No por el servicio en sí, que a veces es más seguro que el homologado. El problema es que queda fuera de todo lo que existe para protegerlo.
No entra en el inventario, así que no entra en el barrido de vulnerabilidades. No entra en el ciclo de parches. No tiene responsable registrado, así que cuando algo aparece nadie sabe a quién escalar. No figura en el informe trimestral, y la dirección decide sobre una foto a la que le falta esa parte.
Y envejece. El entorno subió para una demostración de 2023, la demostración terminó, y el entorno sigue respondiendo con la versión de biblioteca de aquella época.
Dónde se vuelve visible
Desde fuera. Esa propiedad es lo que hace el asunto tratable.
Un activo en shadow IT es invisible para el inventario interno por definición, ya que nunca se registró ahí. Pero si responde en internet, responde para cualquiera, incluido quien mira desde fuera con la perspectiva del adversario.
Por eso el descubrimiento desde el dominio raíz encuentra lo que la hoja de cálculo no tiene. El punto de partida importa más que la herramienta: quien parte de la lista oficial confirma la lista oficial.
Qué hacer con lo que aparece
La tentación es bloquear. Funciona mal, porque la fricción que generó el shadow IT sigue ahí y reaparece con otro nombre.
El camino que converge tiene tres movimientos. Primero, atribuir responsable a lo encontrado, porque un activo sin responsable no se convierte en decisión. Segundo, separar lo que puede salir de línea de lo que necesita absorberse en el proceso formal. Tercero, mirar el patrón: si la misma área produce shadow IT cada vez, el problema está en el proceso que atiende a esa área.
Medir también ayuda más que prohibir. La distancia entre el inventario oficial y lo que la descubierta externa encuentra es el tamaño real del fenómeno, y es un número que la dirección entiende sin traducción.