EscucharLos ejecutivos de las empresas suelen utilizar sus propios móviles y computadoras para trabajar. No solo ellos. También los colaboradores. Y aunque en cada caso invierten —de sus propios bolsillos— en equipos de gran poder y rendimiento, pueden generar diversos tipos de riesgos en ciberseguridad.
Es normal que tanto ejecutivos como colaboradores busquen herramientas que les permitan trabajar más rápido, con mayor comodidad, productividad y agilidad, en comparación con las soluciones corporativas disponibles que consideran inadecuadas.
O que lo hagan porque la adquisición de activos tecnológicos es lenta, esperan encontrar en el entorno laboral la misma experiencia de aplicaciones intuitivas que tienen en su vida personal. El trabajo remoto, favorecido por la computación en la nube, también impulsa a las personas a usar herramientas personales para acceder a la información y a los sistemas corporativos desde distintas ubicaciones.
Puede ser que ejecutivos y colaboradores busquen tecnologías para cumplir sus funciones en áreas del negocio como mercadeo, ventas, finanzas o recursos humanos o simplemente consideren que sus dispositivos o software personales son más fáciles de usar que las herramientas corporativas.
Esta práctica se conoce como Bring Your Own Device (BYOD) cuando hay una autorización y como Shadow IT cuando no la hay. El común denominador es que unos y otros desconocen los peligros para sus organizaciones.
“En nuestra experiencia, el crecimiento del Shadow IT suele ser una consecuencia de una demanda legítima del negocio que no es atendida con la velocidad esperada”, dijo Miguel Caldentey, socio de asesoría y consultoría para Deloitte.
¿Cuál es la solución? “El equilibrio se alcanza mediante una política formal de BYOD y el uso controlado de aplicaciones”, dijo Erick Argüello, gerente de ESET Costa Rica.
Los peligros son permanentes. Por ejemplo, los ciberdelincuentes pueden utilizar técnicas mediante pantallas falsas para robar información sin que el usuario lo note, lo que se conoce como el Screen Overlay. Así capturan claves y contraseñas de cuentas bancarias.
“Son una evolución de las técnicas tradicionales de fraude digital”, explicó José Amado, gerente de la práctica de identidades digitales en Sisap. “Ya no se trata únicamente de engañar al usuario mediante correos electrónicos falsos. Ahora los atacantes buscan infiltrarse en los dispositivos y aprovechar la confianza que las personas depositan en sus aplicaciones cotidianas”.
Un informe global de la firma Deloitte, basado en una consulta a 1.058 líderes de negocio y tecnología en 43 países, mostró que solo el 70% de las organizaciones reportaron haber implementado ampliamente acciones concretas de preparación. Aún así, el 78% reportó al menos una brecha de ciberseguridad durante 2025. El país no está libre de este tipo de situaciones.
Las empresas de Costa Rica se encuentran dentro del foco de interés de los ciberatacantes. Según Fortinet, durante la primera mitad de 2026 se detectaron en el país 313 millones de eventos maliciosos.
“Existe una actividad automatizada buscando constantemente infraestructura expuesta, servicios disponibles y posibles vulnerabilidades”, advirtió Arturo Torres, director regional de inteligencia de amenazas de Fortinet.
Amenazas al por mayor
Si bien para una empresa puede ser menos costoso que sus ejecutivos y el personal recurran a sus propios equipos y sistemas tecnológicos, enfrenta cuatro tipos de riesgos de protección de la información corporativa.
Un dispositivo personal suele carecer de actualizaciones, cifrado, antivirus, autenticación robusta o controles de acceso. Además, se almacena información en servidores externos, se comparte con terceros o se utiliza para entrenar modelos de inteligencia artificial. A partir de ahí, todo puede suceder.
El primer tipo de riesgo es propiamente de ciberseguridad, que incluye la posibilidad de fuga, filtración o pérdida de información sensible, robo de credenciales, accesos no autorizados a datos corporativos, incremento de la superficie de ataque para ciberdelincuentes, infecciones por software malicioso y secuestro de datos para extorsión (ransomware). Además, si un empleado abandona la empresa, se produce la pérdida de información comercial. En caso de incidente, la capacidad de respuesta se ve limitada.
El segundo es de cumplimiento, lo que abarca incumplimiento de normativas de protección de datos, violaciones a políticas internas de seguridad y gobierno corporativo, y exposición a sanciones regulatorias.
El tercero es operacional, incluyendo duplicidad de información, falta de respaldo y recuperación de datos, dependencia de herramientas no gestionadas y dificultades para garantizar continuidad del negocio.
Y el cuarto es de carácter financiero y reputacional, con costos asociados a incidentes de seguridad, pérdida de confianza de clientes y socios e impacto en la reputación corporativa.
El problema más preocupante es que muchas organizaciones desconocen el volumen real de aplicaciones utilizadas fuera de los controles oficiales, lo que genera puntos ciegos dentro de su ecosistema digital.
Todos esos peligros no implican que se deba prohibir totalmente el uso de herramientas digitales personales.
“No son situaciones contrarias. De hecho, las organizaciones más maduras buscan precisamente ese equilibrio”, dijo Caldentey, de Deloitte. “La visión moderna de la seguridad no consiste en prohibir, sino en habilitar el negocio de manera segura”.
Un enfoque extremo de control reduce la productividad e incentiva todavía más el uso de móviles y computadoras a espaldas de la organización, mientras la flexibilidad sin controles adecuados puede incrementar exponencialmente las amenazas.
El punto de equilibrio se logra cuando la organización entiende las necesidades reales de los usuarios, cuando existen mecanismos ágiles para aprobar nuevas herramientas, cuando los dispositivos y aplicaciones se incorporan bajo esquemas de gestión y monitoreo, y cuando se aplican controles de seguridad. En otras palabras, el objetivo debe ser transformar el BYOD en un entorno gobernado y visible para la organización.
“La empresa puede permitir dispositivos personales siempre que cumplan requisitos mínimos de seguridad, como cifrado, actualizaciones, bloqueo de pantalla y autenticación multifactor. También se puede separar la información personal de la corporativa mediante contenedores seguros o perfiles de trabajo”, dijo Argüello.
La opción es la “gobernanza inteligente”, que abarca acciones clave como escuchar y entender por qué los usuarios buscan herramientas alternativas, simplificar los procesos de aprobación tecnológica, reduciendo tiempos y burocracia, e implementar modelos de autoservicio controlado donde los usuarios soliciten y adopten herramientas aprobadas de forma ágil.
Asimismo, se debe aumentar la visibilidad tecnológica mediante la identificación de los sistemas y dispositivos utilizados dentro de la organización; capacitar continuamente a los colaboradores; y aplicar monitoreo basado en riesgos, dejando controles más rigurosos sobre los datos y procesos críticos. “La clave es ofrecer una experiencia digital segura y también sencilla”, recalcó Caldentey.
Es decir, ofrezca alternativas corporativas que sean seguras, accesibles y fáciles de utilizar. “Cuando las herramientas aprobadas son demasiado complejas o no responden a las necesidades del negocio, los usuarios buscan soluciones por su cuenta”, recalcó Argüello.
Enfoque integral
Implemente un enfoque integral que incluya:
Gobierno y políticas: definir una política formal sobre Shadow IT, BYOD y el uso de servicios en la nube; establecer responsabilidades claras entre negocio, TI y ciberseguridad; crear procesos ágiles para la evaluación y aprobación de nuevas aplicaciones.
Tecnología: implementar herramientas de descubrimiento de activos y aplicaciones; adoptar soluciones de gestión unificada de dispositivos; utilizar mecanismos de gestión de acceso e identidad; implementar autenticación multifactor y aplicar principios de Zero Trust.
Protección de datos: clasificar la información según su criticidad, implementar controles de prevención de pérdida de datos y cifrar información sensible tanto en tránsito como en reposo.
Cultura organizacional: capacitar periódicamente a los colaboradores; promover una cultura de responsabilidad digital; y convertir al departamento de tecnología de la información en un socio estratégico del negocio y no solamente en una función de control.
Monitoreo continuo: identificar aplicaciones no autorizadas; revisar periódicamente riesgos emergentes; desarrollar indicadores de adopción y cumplimiento; crear un inventario de dispositivos, aplicaciones y cuentas utilizadas.
Medidas puntuales
—Implementar autenticación multifactor y acceso basado en identidad.
—Utilizar soluciones de gestión de dispositivos, como MDM o UEM.
—Separar la información corporativa de los datos personales.
—Aplicar cifrado tanto en los dispositivos como en las comunicaciones.
—Mantener sistemas y aplicaciones actualizados.
—Limitar privilegios y aplicar el principio de mínimo acceso.
—Utilizar soluciones de detección y respuesta en endpoints.
—Controlar el uso de aplicaciones SaaS y herramientas de inteligencia artificial.
—Establecer procedimientos para borrar información corporativa de manera remota.
—Capacitar a los colaboradores sobre phishing, protección de credenciales y manejo de información sensible.
—Revisar periódicamente los permisos y retirar accesos cuando una persona cambia de función o abandona la empresa.
Fuente: Deloitte y Eset
