TI paralela: riscos, exemplos e como gerenciá-la

Informatec Digital » Recursos » TI paralela: riscos, exemplos e como gerenciá-la

A TI paralela (Shadow IT) se infiltrou em quase todas as organizações sem fazer alarde: aplicativos em nuvem contratados com o cartão corporativo, grupos de WhatsApp para assuntos de trabalho, contas de armazenamento pessoal usadas para arquivos de clientes… Tudo isso faz parte de uma realidade que cresce a cada dia e que, se não for gerenciada, pode se tornar uma grande dor de cabeça.

Ao mesmo tempo, essa TI "não oficial" também surge de necessidades muito reais: funcionários que querem trabalhar mais rápido, colaborar melhor ou compensar as deficiências das ferramentas corporativas. O problema não é tanto a sua existência, mas sim o fato de operar fora do radar dos departamentos de TI e segurança. Compreender a fundo o que é, por que surge, quais riscos acarreta e como gerenciá-la é fundamental para qualquer organização que deseje ser ágil sem perder o controle.

O que é TI paralela e por que ela existe?

Quando falamos de TI paralela (shadow IT), estamos nos referindo ao uso de software, hardware, serviços em nuvem, aplicativos ou dispositivos dentro de uma empresa que não foram aprovados, monitorados ou, muitas vezes, sequer conhecidos pelo departamento de TI. Isso pode variar de um simples aplicativo gratuito de gerenciamento de tarefas a uma plataforma completa de colaboração baseada em nuvem, contratada por uma unidade de negócios.

Essa tecnologia pode ser instalada em computadores corporativos, laptops pessoais, dispositivos móveis pessoais (BYOD), tablets, unidades USB ou diretamente em serviços de nuvem externos. O denominador comum é que ela é usada para fins de trabalho, mas fora dos processos formais de aquisição, segurança e conformidade da organização.

Nos últimos anos, esse fenômeno disparou por diversos motivos: a consumerização da tecnologia (ferramentas poderosas, baratas e fáceis de usar disponíveis para todos), a explosão do SaaS, o trabalho remoto generalizado e a capacidade de provisionar serviços em nuvem com apenas alguns cliques. De acordo com vários estudos, cerca de 41% dos funcionários já utilizavam soluções fora do controle de TI em 2022, e a expectativa é que esse número continue crescendo.

O conceito de TI paralela não possui, inerentemente, uma conotação positiva ou negativa. O problema é que, por estar fora do escopo do departamento de TI, ela não passa pelos controles de segurança, licenciamento e governança que se aplicam à tecnologia oficial da empresa, abrindo caminho para riscos de segurança cibernética, conformidade, custos e operacionais.

Exemplos comuns de TI paralela

A TI paralela não é um conceito abstrato: ela se manifesta em comportamentos muito concretos do dia a dia. Compreender esses exemplos ajuda a identificá-la melhor e a elaborar políticas realistas.

A primeira categoria consiste em aplicativos em nuvem que os usuários acessam diretamente da rede corporativa ou de seus dispositivos pessoais: ferramentas de gerenciamento de projetos como Trello ou Asana, soluções de armazenamento como Google Drive ou Dropbox, suítes de produtividade alternativas, CRMs específicos para cada departamento, etc.

Em segundo lugar, temos o Software como Serviço (SaaS) contratado pelas unidades de negócio sem passar pelo departamento de compras ou TI: licenças para ferramentas de marketing, plataformas de análise, soluções de design ou edição, aplicativos de videoconferência não certificados, etc. Normalmente, esses serviços são pagos com cartões de crédito corporativos usados ​​pelos próprios gestores das unidades ou por meio de assinaturas pessoais que são posteriormente reembolsadas.

Outra forma comum é o uso de dispositivos pessoais no trabalho (BYOD) sem o devido gerenciamento: celulares pessoais usados ​​para e-mail corporativo, tablets pessoais com dados de clientes, laptops domésticos conectados à rede da organização, pen drives não criptografados para transferir informações confidenciais… Tudo isso aumenta a exposição sem que a TI tenha qualquer controle real.

Isso inclui também o software instalado pelo funcionário em seu computador de trabalho: plugins de navegador, complementos de produtividade, ferramentas de desenvolvimento baixadas pelos próprios técnicos, aplicativos de mensagens ou videochamadas não autorizados e até mesmo código personalizado executado no laptop corporativo fora dos repositórios oficiais.

Por fim, não podemos esquecer o uso de plataformas de comunicação pessoal como WhatsApp, Telegram, Signal ou Discord para tratar de assuntos de trabalho, bem como o uso de contas de e-mail pessoais para enviar documentação a clientes ou compartilhar arquivos com fornecedores, o que torna esses dados completamente opacos para a organização.

Por que a TI está se espalhando tanto nas sombras?

A TI paralela não surge aleatoriamente, mas sim como resposta a uma combinação de fatores organizacionais, tecnológicos e humanos. Se quisermos gerenciá-la de forma eficaz, devemos abordar essas causas principais.

Um dos problemas mais significativos é a percepção de lentidão e rigidez dentro do departamento de TI . Quando os processos de aprovação para novas ferramentas são longos, burocráticos ou opacos, os funcionários sentem que solicitar algo novo é quase impossível, especialmente se tiverem prazos apertados a cumprir.

A insatisfação com as soluções oficiais também desempenha um papel importante . Ferramentas corporativas pouco intuitivas, limitadas ou mal adaptadas levam as equipes a buscar alternativas melhores. Se um departamento descobre que um determinado aplicativo pode dobrar o ritmo de trabalho, a tentação de adotá-lo por conta própria é enorme.

A facilidade de acesso à tecnologia em si desempenha um papel decisivo. Hoje, com um simples cartão de crédito e um pouco de conhecimento técnico, qualquer pessoa pode configurar serviços avançados em nuvem para colaboração, gerenciamento de tarefas, desenvolvimento de software ou armazenamento de dados em larga escala, sem precisar recorrer ao departamento de TI.

A tudo isso se soma a falta de consciência dos riscos . Muitos funcionários utilizam essas soluções com boas intenções e sem má-fé, acreditando que "nada acontecerá" ao compartilhar documentos de sua conta pessoal ou instalar um aplicativo gratuito que lhes foi recomendado, sem se darem conta das implicações que isso pode acarretar em termos de vazamento de dados, malware ou descumprimento de normas.

Por fim, entram em jogo mais fatores humanos, como a falta de uma cultura de confiança e comunicação . Algumas pessoas, por medo de serem vistas como problemáticas ou de admitirem que um processo não está funcionando, optam por "se virar" com ferramentas não aprovadas em vez de expressar abertamente a necessidade de mudança.

Benefícios potenciais da TI paralela

Embora seja frequentemente associada a problemas, a TI paralela também tem um lado positivo que deve ser reconhecido para que seja canalizada adequadamente, em vez de tentar erradicá-la à força.

Em muitos casos, essas ferramentas proporcionam acesso muito mais rápido a soluções que resolvem problemas específicos do dia a dia. Uma equipe pode começar a trabalhar com um novo aplicativo em questão de horas, sem precisar esperar semanas para que um processo formal de aquisição e implantação seja concluído.

A TI paralela também é uma fonte de inovação e experimentação . Os usuários exploram tecnologias emergentes, testam novas formas de colaboração ou automatização de tarefas e, às vezes, descobrem soluções que podem ser adotadas oficialmente mais tarde, por oferecerem valor claro para toda a organização.

Outro benefício evidente é a melhoria na produtividade e no conforto dos funcionários . Trabalhar com ferramentas que se adaptam perfeitamente aos seus fluxos de trabalho, que eles conhecem bem e que podem personalizar, geralmente resulta em menos atritos, menos tempo perdido e mais foco em tarefas que agregam valor.

Não podemos nos esquecer do fator psicológico: permitir certa flexibilidade nas ferramentas utilizadas fomenta equipes mais autônomas e com maior autonomia , com uma cultura de engenhosidade e resolução independente de problemas. Quando bem gerenciado, isso pode ser muito positivo para a agilidade da empresa.

No entanto, todos esses benefícios geralmente vêm com uma desvantagem importante: se essa tecnologia não estiver sujeita a controles adequados, o ganho temporário de eficiência pode facilmente acabar sendo pago na forma de incidentes de segurança, sanções regulatórias, caos de dados ou custos ocultos.

Principais riscos da TI paralela

O outro lado da moeda da TI paralela é o conjunto de riscos que ela introduz. Muitos desses riscos não são aparentes à primeira vista, mas se acumulam e podem explodir no pior momento possível.

A primeira e mais visível consequência é o aumento da superfície de ataque . Cada novo aplicativo não autorizado, cada serviço de nuvem externo, cada dispositivo pessoal conectado à rede é um ponto extra que os cibercriminosos podem tentar explorar. Como não estão integrados à arquitetura de segurança corporativa, muitas vezes representam a porta dos fundos perfeita.

Relacionado ao exposto acima, o shadow IT aumenta as vulnerabilidades e o potencial para malware . Muitos aplicativos gratuitos ou pouco conhecidos carecem de mecanismos de segurança robustos, são atualizados com atraso ou contêm bugs graves. No caso de dispositivos móveis e aplicativos de terceiros, estudos demonstraram que uma porcentagem muito alta apresenta falhas de segurança que podem ser exploradas por invasores.

Outro risco crítico é a perda, o vazamento ou a exposição indevida de dados . Quando os funcionários armazenam informações corporativas em contas pessoais, com fornecedores não verificados ou em dispositivos não criptografados , a organização perde a visibilidade e o controle sobre esses dados. Se apenas uma pessoa deixar a empresa ou perder um dispositivo, todas as informações armazenadas nele serão perdidas.

A TI paralela também complica bastante a conformidade regulatória . Regulamentos como GDPR, HIPAA, PCI DSS e padrões como o NIST exigem saber onde os dados residem, como são protegidos e quem tem acesso a eles. Se algumas dessas informações trafegam por canais desconhecidos, garantir a conformidade torna-se praticamente impossível, o que pode levar a penalidades financeiras, obrigações legais e sérios danos à reputação.

Do ponto de vista operacional, a proliferação de ferramentas não autorizadas leva a ineficiências, silos e fluxos de trabalho fragmentados . Cada equipe pode acabar usando sua própria combinação de aplicativos para gerenciar tarefas, se comunicar ou compartilhar arquivos, dificultando a interoperabilidade, aumentando a duplicação e tornando muito difícil ter uma visão unificada dos dados.

O impacto nos custos não deve ser negligenciado. Embora a curto prazo possa parecer que se está economizando ao trocar a compra de uma grande solução corporativa pelo uso de vários serviços baratos ou gratuitos, a longo prazo, a TI paralela (shadow IT) geralmente gera despesas ocultas : assinaturas duplicadas, licenças não utilizadas, tempo de inatividade devido a incidentes, suporte extra e esforço de correção, dependência de fornecedores não certificados, etc.

Questões de visibilidade, controle e conformidade

Um efeito colateral da TI paralela é que o departamento de TI perde seu papel como fonte central de informações confiáveis ​​sobre a tecnologia da organização. Se ele não sabe o que está sendo usado, onde os dados residem ou quais dependências existem entre os sistemas, torna-se muito difícil elaborar uma estratégia coerente de segurança, continuidade e evolução.

A falta de visibilidade acarreta múltiplas consequências. Por um lado, impede a proteção daquilo que não pode ser visto : soluções de monitoramento, backup, criptografia ou resposta a incidentes não abrangem sistemas que sequer constam no inventário oficial. Por outro lado, gera inconsistências nas informações, visto que diversas versões dos mesmos dados podem existir dispersas em ferramentas diferentes e desconectadas.

Na área de conformidade, o ambiente paralelo complica tanto a gestão de evidências (logs, históricos de acesso, rastreabilidade de alterações) quanto a resposta a auditorias ou incidentes. Se uma autoridade reguladora solicitar comprovação de onde determinados dados pessoais estão armazenados, quem os processou e com quais medidas de segurança, as lacunas deixadas por um sistema de TI não controlado podem ser enormes.

Há também um impacto direto na capacidade da empresa de gerenciar o ciclo de vida dos dados : retenção, arquivamento, destruição segura, etc. Se algumas informações são armazenadas em repositórios não oficiais, quando um funcionário sai da empresa ou quando certas informações precisam ser eliminadas, é fácil que cópias ativas permaneçam, com o consequente risco.

Por fim, a perda de controle cria dificuldades no planejamento de investimentos e recursos . Licenças corporativas para ferramentas subutilizadas podem estar sendo pagas enquanto algumas equipes arcam com os custos de ferramentas semelhantes por conta própria, ou funcionalidades podem estar duplicadas sem que se perceba. Sem uma visão completa, otimizar os gastos com TI torna-se praticamente impossível.

Como detectar o uso indevido de TI paralela em sua organização

O primeiro passo para gerenciar a TI paralela não é a proibição, mas sim a obtenção de visibilidade . Muitas organizações se surpreendem quando, ao realizar esse exercício, descobrem dezenas ou centenas de serviços que ninguém havia declarado formalmente.

Uma técnica básica envolve a realização de auditorias regulares de rede e endpoints para identificar aplicativos, serviços em nuvem e conexões não autorizados. Isso inclui a revisão de softwares instalados em computadores, plugins de navegador, aplicativos móveis conectados a e-mails corporativos e padrões de tráfego para domínios SaaS.

Também é muito útil analisar os registros de despesas e compras de fornecedores de tecnologia que não utilizam os canais usuais. Assinaturas de serviços em nuvem feitas com cartão de crédito, pequenas cobranças recorrentes ou faturas de software emitidas para departamentos específicos podem ser um sinal claro de TI paralela.

Outro método de detecção envolve a integração de informações de provedores de identidade e SSO (como Azure AD, Google Workspace e outros) para verificar quais aplicativos os usuários estão acessando com credenciais corporativas. Embora nem todos esses aplicativos sejam aprovados, essa camada de visibilidade ajuda a mapear os padrões de atividade da organização.

Existem também ferramentas específicas de detecção de Shadow IT e CASB (Cloud Access Security Broker) que monitoram o tráfego para serviços em nuvem, classificam aplicativos de acordo com seu nível de risco e permitem a identificação automatizada de novas adições em questão de segundos, gerando alertas quando algo não autorizado aparece.

Por fim, a detecção não deve ser apenas técnica. É crucial fomentar uma cultura de transparência onde os funcionários sejam encorajados a discutir quais ferramentas utilizam e porquê, sem receio de represálias. Inquéritos internos, entrevistas com chefes de departamento e canais de comunicação abertos podem revelar mais práticas de TI paralela do que muitos scanners.

Melhores práticas para prevenir e controlar a TI paralela.

Uma vez compreendido o panorama geral e revelado o que está subjacente, é hora de elaborar uma estratégia para reduzir o risco sem sufocar a inovação . A chave é combinar processos, tecnologia e cultura.

Do ponto de vista organizacional, melhorar a colaboração entre TI e as unidades de negócio é crucial . Em vez de agir como um mero departamento que diz "não", a TI deve se reunir com as equipes, entender suas reais necessidades e propor alternativas seguras que as atendam. Quando os usuários se sentem ouvidos, são menos propensos a buscar soluções fáceis.

Também ajuda bastante oferecer um catálogo claro, atualizado e de fácil consulta dos serviços e aplicativos autorizados . Se os funcionários souberem quais ferramentas podem usar para cada caso de uso (colaboração, gerenciamento de projetos, compartilhamento de arquivos, mensagens etc.), a tentação de deixar a empresa diminui.

Do ponto de vista técnico, é recomendável implementar soluções de gerenciamento de dispositivos móveis (MDM) e políticas robustas de BYOD (Bring Your Own Device) que permitam controlar quais aplicativos são instalados em dispositivos pessoais que acessam dados corporativos, aplicar criptografia, separar espaços pessoais e de trabalho e bloquear o uso de serviços não autorizados.

Em ambientes de desenvolvimento, é fundamental combater o chamado código paralelo , integrando ferramentas de análise de segurança (SAST, DAST, IAST) ao ciclo de vida da aplicação, revisando quais bibliotecas e frameworks são utilizados e garantindo que todo o código que chega aos repositórios oficiais tenha sido avaliado e documentado.

Os controles de acesso e o princípio do menor privilégio também devem ser estendidos à nuvem: definindo quem pode provisionar novos serviços, com quais configurações de segurança padrão, como os recursos são rotulados para rastreá-los e quais requisitos eles devem atender antes de entrarem em produção.

Por outro lado, a automatização de alertas e respostas a comportamentos anômalos é altamente eficaz : detecção de assinaturas de novos serviços SaaS, picos de transferência de dados para provedores externos, uso intensivo de aplicativos não classificados, etc. Quanto mais cedo uma nova instância de TI paralela for detectada, mais tempo haverá para resolvê-la.

Treinamento e conscientização são pilares essenciais. Não basta lançar uma política e esperar que ela seja seguida: é preciso explicar de forma clara e prática o que é TI paralela, quais riscos ela acarreta, quais alternativas seguras existem e como solicitar novas ferramentas. Workshops regulares, módulos de treinamento, simulações e campanhas internas podem fazer toda a diferença.

Por fim, é recomendável realizar auditorias de TI recorrentes , revisando ativos oficiais e não identificados, avaliando sua adequação às políticas de segurança e conformidade e definindo planos de regularização: desde a integração formal das ferramentas que agregam valor até a remoção daquelas que representam um risco inaceitável e a proposição de substitutos adequados.

Gerenciar a TI nos bastidores não significa microgerenciar funcionários ou impor controle rígido sobre cada clique, mas sim canalizar sua iniciativa, reduzir pontos cegos e equilibrar produtividade e segurança . Quanto mais transparente for a comunicação, mais ágil for o processo de aprovação de novas soluções e mais claras forem as regras de engajamento, menos as pessoas precisarão "ir aos bastidores" para desempenhar bem suas funções.