Riesgo SaaS y shadow IT: lo que no ve IT en su PYME

Empleados en PYME boricua registran Notion, Canva Pro, ChatGPT Plus, y file sharing personal con datos de clientes — shadow IT que IT no ve hasta audit o breach. SaaS risk management no es bloquear todo; es inventario, clasificación, y guardrails que permiten productividad segura. OWASP no cubre shadow IT directamente, pero data exposure via third-party SaaS es vector real documentado en Krebs on Security.

Discovery: SSO logs (si existe), expense reports, DNS/firewall analytics (Cloudflare, Zscaler), y entrevistas honestas con departamentos. Shadow IT inventory trimestral — SaaS aprobado vs descubierto. Clasifique por data sensitivity: marketing tools tier bajo; HR/payroll tier crítico.

Gobernanza pragmática: self-service catalog de SaaS pre-aprobados, proceso lightweight de excepción 48h para nuevo tool, DPA template listo. Block no es default — guide es default. Empresas mainland con filiales PR necesitan policy consistente cross-border data.

Controles técnicos: CASB lite o M365/Google SaaS app discovery, block OAuth de apps no autorizadas en tenant corporativo, DLP en email para PHI/PCI outbound a personal cloud. Bruce Schneier señala que prohibición total genera evasión — canalice necesidad legítima.

Incident response SaaS: vendor breach notification terms, export de datos si cancela tool, continuity si vendor desaparece. NIST privacy framework ayuda evaluar riesgo de datos en terceros. Puerto Rico PYMES compiten por talento — shadow IT a veces señala gap en tools aprobados; escuche y formalice.