Shadow OT
Acknowledge it. Find it safely. Govern it without blame.Le reconnaître. Le trouver sans risque. Le gouverner sans blâmer.Reconocerlo. Encontrarlo con seguridad. Gobernarlo sin culpar.
Controllers, sensors, building systems and vendor equipment can keep your operations running without ever appearing in an enterprise inventory. This site helps leaders and their teams recognize that technology, find it without disrupting operations, and bring it under shared, practical governance.Automates, capteurs, systèmes du bâtiment et équipements de fournisseurs peuvent faire tourner vos opérations sans jamais figurer dans un inventaire de l’entreprise. Ce site aide les dirigeants et leurs équipes à reconnaître ces technologies, à les trouver sans perturber les opérations et à les placer sous une gouvernance commune et réaliste.Controladores, sensores, sistemas del edificio y equipos de proveedores pueden mantener sus operaciones en marcha sin aparecer nunca en un inventario de la empresa. Este sitio ayuda a los líderes y a sus equipos a reconocer esa tecnología, encontrarla sin interrumpir las operaciones y someterla a una gobernanza compartida y práctica.
Technology that runs the physical world, outside the lightDes technologies qui font tourner le monde physique, à l’écartTecnología que mueve el mundo físico, fuera de la vista
Operational technology (OT) is the hardware and software that monitors or controls physical equipment, processes and environments: programmable controllers, sensors and drives, building automation, supervisory systems and the like.Les technologies opérationnelles (TO, ou OT en anglais) sont le matériel et les logiciels qui surveillent ou commandent des équipements, des procédés et des environnements physiques : automates programmables, capteurs et variateurs, automatisation du bâtiment, systèmes de supervision, etc.La tecnología operativa (OT, por sus siglas en inglés) es el hardware y el software que supervisa o controla equipos, procesos y entornos físicos: controladores programables, sensores y variadores, automatización de edificios, sistemas de supervisión y similares.
OT becomes “shadow” when the relevant enterprise processes do not know about it: it is undocumented, unmonitored, or has no recognized owner.Une technologie opérationnelle devient « fantôme » (shadow) lorsque les processus concernés de l’entreprise en ignorent l’existence : elle n’est pas documentée, pas surveillée, ou n’a pas de responsable reconnu.La OT se vuelve “en la sombra” (shadow) cuando los procesos correspondientes de la empresa no la conocen: no está documentada, no se supervisa o no tiene un responsable reconocido.
It differs from Shadow IT (business software or cloud services adopted outside IT) and Shadow AI (AI tools used outside approved channels) in one important way: it touches physical processes. How it is found, and what is done next, can affect safety and availability.Il se distingue du Shadow IT (logiciels ou services infonuagiques adoptés hors du service informatique) et du Shadow AI (outils d’IA utilisés hors des canaux approuvés) sur un point essentiel : il touche des procédés physiques. La façon de le trouver, et ce qu’on en fait ensuite, peut avoir des effets sur la sécurité des personnes et la disponibilité.Se diferencia del Shadow IT (software empresarial o servicios en la nube adoptados al margen de TI) y del Shadow AI (herramientas de IA usadas fuera de los canales aprobados) en un aspecto clave: afecta a procesos físicos. La forma de encontrarla, y lo que se haga después, puede influir en la seguridad y la disponibilidad.
Not every gap is the same gapTous les angles morts ne se valent pasNo todas las brechas son iguales
- UnknownInconnuDesconocidoNo one responsible for enterprise records knows it exists.Personne chargé des registres de l’entreprise ne sait qu’il existe.Nadie responsable de los registros de la empresa sabe que existe.
- UndocumentedNon documentéNo documentadoPeople know about it, but it is not written down anywhere authoritative.On le connaît, mais il ne figure dans aucun document de référence.Se conoce, pero no consta en ningún registro de referencia.
- UnmanagedNon géréNo gestionadoIt is recorded, but no one maintains, patches or monitors it.Il est consigné, mais personne ne l’entretient, ne le met à jour ni ne le surveille.Está registrado, pero nadie lo mantiene, actualiza ni supervisa.
- UnapprovedNon approuvéNo aprobadoIt never went through the approval path that applies to it, often because none was workable.Il n’a pas suivi le circuit d’approbation applicable, souvent parce qu’aucun n’était praticable.No pasó por el proceso de aprobación correspondiente, a menudo porque no había ninguno viable.
- Deliberately concealedDélibérément cachéOcultado deliberadamenteRare, and different in kind. Do not assume it; investigate it if evidence points there.Rare, et d’une autre nature. Ne pas le présumer ; enquêter si des éléments l’indiquent.Poco frecuente y de otra naturaleza. No lo suponga; investíguelo si las pruebas apuntan a ello.
Operational authorization and enterprise-wide visibility are different things. Equipment can be fully approved by a plant or facility and still be invisible to the enterprise. Isolated and non-networked assets can be overlooked too.L’autorisation opérationnelle et la visibilité à l’échelle de l’entreprise sont deux choses distinctes. Un équipement peut être entièrement approuvé par une usine ou un site et rester invisible pour l’entreprise. Les actifs isolés ou non connectés peuvent aussi être oubliés.La autorización operativa y la visibilidad en toda la empresa son cosas distintas. Un equipo puede estar plenamente aprobado por una planta o instalación y seguir siendo invisible para la empresa. Los activos aislados o sin conexión a la red también pueden pasarse por alto.
Key messageMessage cléMensaje claveA visibility gap does not establish malicious intent, negligence or an actual security incident.Un angle mort ne prouve ni intention malveillante, ni négligence, ni incident de sécurité avéré.Una brecha de visibilidad no demuestra mala intención, negligencia ni un incidente de seguridad real.
The business had a job to do. Governance did not keep pace.L’entreprise avait un travail à faire. La gouvernance n’a pas suivi.La empresa tenía un trabajo que hacer. La gobernanza no siguió el ritmo.
“Existing out of spite” is a tongue-in-cheek description of a serious reality: people keep essential operations working, sometimes without timely leadership decisions, a workable governance pathway or adequate support. The systems persist because the business needs persist.« Exister par pur entêtement » est une façon ironique de décrire une réalité sérieuse : des personnes maintiennent en marche des opérations essentielles, parfois sans décisions rapides de la direction, sans circuit de gouvernance praticable ni soutien suffisant. Les systèmes persistent parce que les besoins de l’entreprise persistent.“Existir por puro despecho” es una forma irónica de describir una realidad seria: hay personas que mantienen en marcha operaciones esenciales, a veces sin decisiones oportunas de la dirección, sin una vía de gobernanza viable ni el apoyo adecuado. Los sistemas persisten porque las necesidades del negocio persisten.
Shadow OT is not, by itself, evidence of negligence or deliberate misconduct. It is often the predictable result of a business needing something done while direction, coordination, funding or fit-for-purpose governance has not kept up with operational reality.Le Shadow OT n’est pas, en soi, une preuve de négligence ou de faute délibérée. C’est souvent le résultat prévisible d’une entreprise qui avait besoin que les choses se fassent, alors que l’orientation, la coordination, le financement ou une gouvernance adaptée n’avaient pas suivi la réalité opérationnelle.El Shadow OT no es, por sí mismo, prueba de negligencia ni de mala conducta deliberada. Suele ser el resultado previsible de una empresa que necesitaba que algo se hiciera mientras la dirección, la coordinación, la financiación o una gobernanza adecuada no seguían el ritmo de la realidad operativa.
How Shadow OT can emergeComment le Shadow OT peut apparaîtreCómo puede surgir el Shadow OT
- Unclear directionOrientation floueDirección poco claraNo practical standards; slow or absent decisionsPas de normes praticables ; décisions lentes ou absentesSin normas prácticas; decisiones lentas o inexistentes
- Operational demandExigence opérationnelleDemanda operativaService and production still must continueLe service et la production doivent continuerEl servicio y la producción deben continuar
- Local solutionSolution localeSolución localEquipment is acquired, adapted or inheritedL’équipement est acheté, adapté ou héritéEl equipo se adquiere, adapta o hereda
- Visibility gapAngle mortBrecha de visibilidadEnterprise inventory and governance miss itL’inventaire et la gouvernance de l’entreprise passent à côtéEl inventario y la gobernanza de la empresa no lo detectan
- Shared responseRéponse communeRespuesta compartidaDiscover, recognize and integrate without blameDécouvrir, reconnaître et intégrer sans blâmerDescubrir, reconocer e integrar sin culpar
The visibility gap is a governance problem to solve, not an automatic finding of employee negligence.L’angle mort est un problème de gouvernance à résoudre, pas un constat automatique de négligence du personnel.La brecha de visibilidad es un problema de gobernanza que hay que resolver, no una conclusión automática de negligencia del personal.
A business issue, not only a cybersecurity issueUn enjeu d’affaires, pas seulement de cybersécuritéUn asunto de negocio, no solo de ciberseguridad
Leaders cannot make sound decisions about technology they cannot see. The consequences reach well beyond the security team.Les dirigeants ne peuvent pas prendre de bonnes décisions sur des technologies qu’ils ne voient pas. Les conséquences dépassent largement l’équipe de sécurité.Los líderes no pueden tomar buenas decisiones sobre tecnología que no ven. Las consecuencias van mucho más allá del equipo de seguridad.
Unrecognized dependencies may affect how physical processes behave, especially during maintenance or change.Des dépendances non reconnues peuvent influer sur le comportement des procédés physiques, surtout lors de l’entretien ou d’un changement.Las dependencias no reconocidas pueden afectar al comportamiento de los procesos físicos, sobre todo durante el mantenimiento o los cambios.
Undocumented systems make maintenance, recovery and change planning less predictable.Les systèmes non documentés rendent l’entretien, la reprise et la planification des changements moins prévisibles.Los sistemas no documentados hacen menos predecibles el mantenimiento, la recuperación y la planificación de cambios.
Disruptions can mean lost production, repairs, penalties and unplanned spending.Les perturbations peuvent entraîner des pertes de production, des réparations, des pénalités et des dépenses imprévues.Las interrupciones pueden suponer pérdida de producción, reparaciones, sanciones y gastos imprevistos.
Unaccounted-for systems and access paths weaken monitoring and incident response.Des systèmes et des accès non répertoriés affaiblissent la surveillance et la réponse aux incidents.Los sistemas y las vías de acceso no contabilizados debilitan la supervisión y la respuesta a incidentes.
Incomplete knowledge limits defensible risk decisions and the evidence behind them.Une connaissance incomplète limite les décisions de risque défendables et les preuves qui les appuient.Un conocimiento incompleto limita las decisiones de riesgo defendibles y las pruebas que las respaldan.
Leaders need an accurate picture of the technologies that support critical business outcomes.Les dirigeants ont besoin d’un portrait exact des technologies qui soutiennent les résultats essentiels de l’entreprise.Los líderes necesitan una imagen precisa de las tecnologías que sostienen los resultados críticos del negocio.
Discover first. Understand purpose. Decide together.D’abord découvrir. Comprendre la raison d’être. Décider ensemble.Primero descubrir. Entender el propósito. Decidir juntos.
Ask why it is there, not who broke a ruleDemander pourquoi il est là, pas qui a enfreint une règlePreguntar por qué está ahí, no quién incumplió una norma
A discovery effort should begin with “What does this system support, and why is it here?” rather than “Who violated policy?”Une démarche de découverte devrait commencer par « Que soutient ce système, et pourquoi est-il là ? » plutôt que « Qui a enfreint la politique ? »Un esfuerzo de descubrimiento debería empezar con “¿Qué sostiene este sistema y por qué está aquí?” y no con “¿Quién incumplió la política?”
Work had to continueLe travail devait continuerEl trabajo tenía que continuar
Operational staff may buy, adapt or preserve technology because the physical work must go on, even when no enterprise decision pathway exists.Le personnel opérationnel peut acheter, adapter ou conserver des technologies parce que le travail physique doit continuer, même sans circuit de décision à l’échelle de l’entreprise.El personal operativo puede comprar, adaptar o conservar tecnología porque el trabajo físico debe continuar, incluso cuando no existe una vía de decisión en la empresa.
Gaps have structural causesLes angles morts ont des causes structurellesLas brechas tienen causas estructurales
Missing visibility often reflects fragmented accountability, separate capital budgets, inherited infrastructure, disconnected inventories or unclear authority.Le manque de visibilité reflète souvent des responsabilités morcelées, des budgets d’investissement distincts, des infrastructures héritées, des inventaires déconnectés ou une autorité floue.La falta de visibilidad suele reflejar responsabilidades fragmentadas, presupuestos de capital separados, infraestructura heredada, inventarios desconectados o una autoridad poco clara.
Leadership makes visibility possibleLa direction rend la visibilité possibleLa dirección hace posible la visibilidad
Leaders must set usable expectations and give engineering, facilities and operations a practical way to make needs, assets, changes and risks visible.La direction doit fixer des attentes applicables et offrir à l’ingénierie, aux installations et aux opérations un moyen pratique de rendre visibles les besoins, les actifs, les changements et les risques.La dirección debe fijar expectativas aplicables y dar a ingeniería, instalaciones y operaciones una forma práctica de hacer visibles las necesidades, los activos, los cambios y los riesgos.
And stillEt pourtantAun asíNo blame is not the same as no action. Once an asset is identified, it still needs an owner and reasonable controls. A nonblaming approach is not permission to ignore safety or security obligations.Ne pas blâmer ne veut pas dire ne rien faire. Une fois un actif repéré, il lui faut un responsable et des mesures raisonnables. Une approche sans blâme n’autorise pas à ignorer les obligations de sécurité.No culpar no significa no actuar. Una vez identificado un activo, sigue necesitando un responsable y controles razonables. Un enfoque sin culpas no autoriza a ignorar las obligaciones de seguridad.
From acknowledgment to sustained visibilityDe la reconnaissance à une visibilité durableDel reconocimiento a una visibilidad sostenida
Where OT hides, and whyOù se cachent les TO, et pourquoiDónde se esconde la OT y por qué
Sectors, root causes, warning signs and a two-minute self-assessment.Secteurs, causes profondes, signes avant-coureurs et une autoévaluation de deux minutes.Sectores, causas de fondo, señales de alerta y una autoevaluación de dos minutos.
ReadLireLeer → Find itLe trouverEncontrarloDiscovery that protects operationsUne découverte qui protège les opérationsUn descubrimiento que protege las operaciones
Start with people and records; use technical methods with care and approval.Commencer par les personnes et les registres ; recourir aux méthodes techniques avec prudence et approbation.Empezar por las personas y los registros; usar métodos técnicos con cuidado y aprobación.
ReadLireLeer → Manage itLe gérerGestionarloWhat to do with what you findQue faire de ce que vous trouvezQué hacer con lo que encuentre
Ownership, proportionate risk decisions and who does what.Responsabilité, décisions de risque proportionnées et rôles de chacun.Responsables, decisiones de riesgo proporcionadas y quién hace qué.
ReadLireLeer → Build a programBâtir un programmeCrear un programaA repeatable capabilityUne capacité durableUna capacidad repetible
The lifecycle, a 90-day starting roadmap and measures that reward visibility.Le cycle de vie, une feuille de route de 90 jours et des indicateurs qui valorisent la visibilité.El ciclo de vida, una hoja de ruta inicial de 90 días e indicadores que premian la visibilidad.
ReadLireLeer → ResourcesRessourcesRecursosScenarios, templates, standards, FAQScénarios, modèles, normes, FAQEscenarios, plantillas, normas, preguntas frecuentes
Practical, vendor-neutral starting material for organizations of any size.Du matériel de départ pratique et indépendant, pour les organisations de toute taille.Material práctico e independiente para organizaciones de cualquier tamaño.
ReadLireLeer →Visibility is a leadership-enabled business capabilityLa visibilité est une capacité d’affaires rendue possible par la directionLa visibilidad es una capacidad de negocio que habilita la dirección
Shadow OT often exposes an invisible governance gap. Respond with business-led discovery and shared accountability, not blame.Le Shadow OT révèle souvent une lacune de gouvernance invisible. La réponse : une découverte menée par l’entreprise et une responsabilité partagée, pas le blâme.El Shadow OT suele revelar una brecha de gobernanza invisible. La respuesta: un descubrimiento liderado por el negocio y responsabilidad compartida, no culpas.