Qu'est-ce que le shadow IT ? Atténuer les risques et meilleures pratiques

Le shadow IT désigne les technologies utilisées au sein d'une organisation qui ne sont pas approuvées ou autorisées par l'équipe informatique centrale pour leur utilisation et leur déploiement. Découvrez comment fonctionnent les attaques de shadow IT dans ce guide.

Les employés peuvent ne pas être satisfaits de vos technologies ou de vos flux de travail actuels. Certains d'entre eux n'ont peut-être pas encore exprimé leurs préoccupations concernant les problèmes imminents sur le lieu de travail. Les risques liés au shadow IT ne peuvent être négligés et ils trouvent souvent leur origine dans ces émotions. Un employé mécontent qui craint trop la culture d'entreprise peut recourir à un outil de shadow IT pour accomplir son travail.

La raison ? Il ne veut pas contrarier son supérieur et faire savoir aux autres que les processus actuels sont inefficaces. Mais à son insu, cette petite initiative personnelle peut créer de nouveaux risques. Le logiciel qu'il utilise peut contenir un code malveillant ou être encore au stade de prototype ou de version bêta. Ce guide explique ce qu'est le shadow IT dans le domaine de la cybersécurité. Vous comprendrez comment fonctionne la sécurité informatique parallèle, tout ce qu'il faut savoir sur les outils informatiques parallèles, et bien plus encore ci-dessous.

Qu'est-ce que le Shadow IT ?

Parfois, les outils de sécurité et les systèmes informatiques traditionnels ne suffisent pas pour accomplir certaines tâches. C'est alors que certains employés décident d'utiliser des logiciels et des outils spécialisés qui ne sont pas approuvés par les autorités et les systèmes informatiques centraux. Le Shadow IT devient un problème majeur pour les entreprises, non seulement parce qu'il contourne les limites, mais aussi parce qu'il présente plusieurs risques pour la sécurité. Selon une étude de Gartner, les employés continueront à l'avenir à modifier ou à créer des technologies qui échappent à la visibilité des services informatiques.

La plupart des risques liés au Shadow IT sont cachés à la vue de tous. Cependant, ils passent souvent inaperçus et peuvent être très longs à détecter. Les outils SaaS inconnus, les systèmes hérités qui sont censés être abandonnés mais qui sont toujours utilisés, les bases de données redondantes et le partage ou la collaboration non autorisés sur des plateformes non approuvées sont quelques exemples d'activités informatiques parallèles dans les environnements sur site, hybrides et multicloud.

Causes de l'informatique parallèle

Les causes du shadow IT peuvent être liées à la satisfaction des besoins professionnels spécifiques des employés, qui utilisent ces outils pour leur commodité. Voici quelques-unes des principales causes :

• Une plus grande familiarité – Les employés peuvent se sentir plus à l'aise ou plus productifs sur leur lieu de travail grâce à l'utilisation d'outils informatiques parallèles. Ils peuvent avoir l'impression que ces technologies les aident à accomplir leurs tâches plus rapidement et plus facilement.
• Manque de sensibilisation à la sécurité et aux risques – Certains employés sont vraiment crédules et pensent que ces outils non autorisés sont sûrs. Ils ne sont peut-être pas conscients du fait que les outils informatiques parallèles peuvent contenir des logiciels malveillants.
• Lenteur des processus d'approbation – Les employés peuvent se lasser des longs délais d'attente pour obtenir l'approbation de nouveaux logiciels ou outils. Ils ont alors recours à des pratiques informatiques parallèles à l'insu des autres membres de l'organisation.
• Contraintes budgétaires – Certains outils informatiques parallèles sont considérés comme des alternatives plus abordables, sans limite ni restriction d'utilisation, que les logiciels approuvés au sein de l'organisation. Cela incite les employés à les utiliser.

Impact du shadow IT

Le shadow IT présente des risques et des dangers réels qui se développent discrètement en arrière-plan, sans aucune preuve visible.

Voici quelques-uns des impacts des menaces liées au shadow IT :

• Le Shadow IT peut contourner l'authentification multifactorielle (MFA) et les contrôles d'accès basés sur les rôles. Ses systèmes peuvent entraîner une augmentation des risques liés à la production, tels que le vol de données, les pertes, les dommages causés aux applications et les logiciels malveillants.
• Les utilisateurs disposant d'un accès non autorisé peuvent apporter des modifications critiques aux données sensibles et aux bases de données clients. Ils pourraient même modifier des dossiers médicaux, falsifier des informations et affecter les opérations quotidiennes de l'entreprise.
• Les activités informatiques parallèles peuvent injecter du code malveillant dans n'importe quelle partie du processus de production, de manière involontaire ou intentionnelle. Elles peuvent rendre les organisations plus vulnérables aux attaques zero-day et aux ransomwares. Elles peuvent également contourner les pare-feu et les systèmes de détection d'intrusion et antivirus.

Comment détecter le Shadow IT ?

Vous pouvez détecter le Shadow IT grâce à une surveillance et une vérification régulières du réseau. Voici quelques méthodes :

• Vous pouvez effectuer des audits réguliers du réseau afin d'identifier les applications et services non autorisés qui s'exécutent sur votre réseau
• Vous devez mettre en place une surveillance du trafic réseau afin de repérer les transferts de données inhabituels ou les connexions suspectes
• Si vous disposez de notes de frais et de données d'achat, vous pouvez les analyser pour détecter les achats de logiciels non autorisés
• Vous devez vous connecter à vos fournisseurs d'authentification unique (SSO) et d'identifiants tels que Google Workspace ou Azure Active Directory pour suivre les utilisateurs des applications
• Il existe des agents de découverte et des extensions de navigateur que vous pouvez déployer pour trouver les applications installées sur les terminaux
• Vous devez former vos employés à signaler les nouvelles applications qu'ils utilisent et qui n'ont pas été approuvées.
• Si vous ne procédez pas à des évaluations de sécurité régulières, le shadow IT continuera de se développer sans être détecté. Vous pouvez surveiller les modèles d'utilisation du cloud afin d'identifier les services cloud non autorisés auxquels les utilisateurs accèdent. Avant de mettre en œuvre une solution, dressez un inventaire complet de toutes les applications approuvées.
• Il faudra combiner ces méthodes pour obtenir une visibilité complète

Comment prévenir et contrôler le shadow IT ?

Voici comment vous pouvez prévenir et contrôler les risques liés au shadow IT :

• Utilisez des outils de détection du Shadow IT – Ces outils peuvent aider votre entreprise à trouver et à identifier les technologies Shadow IT. Ils offrent une vue d'ensemble complète de tous les risques liés au shadow IT et fournissent des capacités de surveillance en temps réel. Votre service informatique bénéficiera ainsi de la visibilité dont il a besoin et sera en mesure de réagir rapidement aux problèmes liés au shadow IT.
• Essayez les Cloud Security Access Brokers (CASB) – Les Cloud Security Access Brokers (CASBs) peuvent protéger les réseaux de votre entreprise et la sécurité du cloud. Ils peuvent être utilisés pour mettre en œuvre les meilleurs protocoles de chiffrement, contrôles d'accès et mesures de prévention des pertes de données (DLP). Vous pouvez également prévenir les fuites de données et garantir la protection des données sensibles, tout en appliquant les meilleures pratiques de sécurité SaaS.
• Intégrer une formation sur la sensibilisation au shadow IT et la gestion des risques – Cela va sans dire, mais une formation est nécessaire pour tous les employés, qu'ils comprennent ou non les pratiques du shadow IT. Lorsque tout le monde est sur la même longueur d'onde et informé des dernières innovations en matière de shadow IT, les employés sont moins susceptibles d'être dupés ou pris au dépourvu. Il est important d'organiser régulièrement des sessions de formation et de tester les connaissances de vos employés de temps à autre. Ils doivent également savoir quelles alternatives au shadow IT utiliser s'ils préfèrent d'autres solutions.

Avantages du shadow IT

Les outils shadow IT présentent des avantages pour les utilisateurs :

• Les employés peuvent accomplir leurs tâches plus efficacement lorsqu'ils ont un accès direct aux logiciels nécessaires.
• Les applications informatiques parallèles peuvent faciliter le partage de fichiers et rendre la messagerie plus pratique. Elles permettent une collaboration plus rapide entre les employés et une communication beaucoup plus efficace entre les services.
• Les technologies informatiques parallèles sont très flexibles et faciles à mettre en œuvre. Elles peuvent être déployées rapidement et s'intègrent de manière transparente. Si votre organisation est confrontée à des problèmes de performance ou à des goulots d'étranglement, elles peuvent également y remédier.
• Les outils informatiques parallèles sont également très personnalisables, ce qui signifie que vous pouvez ajouter ou supprimer des fonctionnalités à votre guise. Ils ne sont pas soumis à des restrictions comme les logiciels prêts à l'emploi ni à des règles intégrées comme les services cloud. Certaines technologies informatiques parallèles sont entièrement open source et gratuites, ce qui vous permet également de réaliser des économies.

Risques et défis liés au Shadow IT

Voici quelques-uns des risques et défis liés au Shadow IT :

Manque de visibilité

Les services informatiques ne savent pas ce qui se passe en arrière-plan lorsque les employés utilisent des outils non autorisés et des applications basées sur le cloud. Ils perdent le contrôle et il devient difficile de gérer la sécurité. L'entreprise perd la possibilité de suivre les dernières mises à jour de sécurité et ne peut pas appliquer efficacement des mesures de sécurité strictes.

Mauvaise sécurité des données

Les outils informatiques parallèles peuvent entraîner des fuites de données sensibles ou un partage de fichiers non sécurisé. Comme ces outils sont créés par des fournisseurs non agréés, il est impossible de savoir ce qu'il advient des données qui y sont stockées et transmises. Cela peut potentiellement causer de graves dommages à la réputation et aux finances d'une organisation.

Création de lacunes en matière de conformité

Le Shadow IT peut créer de nouvelles lacunes en matière de conformité et enfreindre les réglementations existantes en matière de protection des données, telles que le CIS Benchmark, le NIST, l'HIPAA ou le RGPD. Les outils non autorisés ne respectent pas toujours les normes du secteur et peuvent exposer une entreprise à des amendes, des poursuites judiciaires et d'autres sanctions.

Inefficacité et fragmentation des flux de travail

Les applications informatiques parallèles ne s'intègrent pas facilement dans les systèmes informatiques. Elles peuvent entraîner une fragmentation des flux de travail, des incohérences dans les données et des pannes opérationnelles. Au final, tous ces éléments peuvent avoir un impact sur la productivité des employés et, à long terme, sur l'organisation dans son ensemble.

Meilleures pratiques pour gérer le Shadow IT

Voici quelques-unes des meilleures pratiques que vous pouvez mettre en œuvre pour gérer le Shadow IT dans votre organisation :

• Passez en revue et auditez tous les comptes utilisateurs présents au sein de l'organisation, examinez également l'utilisation des applications SaaS et vérifiez si elles sont conformes aux exigences de votre organisation en matière d'utilisation et de tolérance au risque.
• Vous devez également examiner les contrôles d'accès et vous conformer aux obligations légales et réglementaires. Examinez toutes les transactions associées à des applications non autorisées, effectuez une analyse comparative des données de transaction et notez les volumes de téléchargement et de chargement pour chacune d'entre elles.
• Vérifiez vos paramètres de sécurité et assurez-vous que votre organisation utilise les dernières normes de cryptage. De plus, si vous constatez des signes de systèmes non corrigés ou d'absence de mises à jour, veuillez vous en occuper immédiatement. Il est également recommandé de créer des politiques dynamiques et de les rendre granulaires afin de pouvoir contrôler efficacement le transfert de données entre l'application et l'utilisateur.
• Adoptez le principe de l'accès avec le moins de privilèges possible et mettez en place une architecture de sécurité réseau " zero trust ". Réexaminez régulièrement vos politiques et recueillez les commentaires des utilisateurs finaux pour voir comment elles fonctionnent.
• Mettez également en place des mécanismes d'exception qui peuvent s'avérer utiles lorsque votre organisation ne souhaite pas appliquer certaines politiques ou contrôles spécifiques. Cela vous donnera plus de flexibilité et vous évitera d'avoir recours à des technologies et outils informatiques parallèles.

Exemples d'informatique parallèle

Voici quelques exemples d'informatique parallèle en action :

• Des applications tierces telles que Discord, Telegram, Signal et Slack peuvent être utilisées pour crypter les communications et diffuser des fichiers non autorisés. Les organisations ne peuvent pas suivre les flux d'informations sur ces services ni les surveiller.
• Le téléchargement de logiciels spécialisés sans l'accord préalable de l'organisation peut introduire des risques liés au shadow IT au sein du réseau de l'entreprise. Les employés peuvent également utiliser des outils de conception informatiques parallèles, des CRM, des comptes et d'autres applications SaaS qui peuvent créer des problèmes de conformité et un manque de contrôle.
• Les employés peuvent utiliser les contrôles de la politique informatique parallèle et personnaliser les politiques de sécurité existantes d'une organisation à leur insu, sans que les membres du conseil d'administration et les parties prenantes n'en aient connaissance. En ce qui concerne les politiques BYODBYOD (Bring Your Own Device), ils peuvent choisir de les ignorer et de travailler en apportant leurs ordinateurs portables, téléphones et tablettes personnels, qui ne sont pas gérés par le service informatique et introduisent plusieurs risques de cybersécurité liés au shadow IT.

Conclusion

Voilà comment vous pouvez prévenir le shadow IT et mettre fin à l'utilisation de ces outils et technologies dans votre organisation. Nous ne disons pas que tout le shadow IT est mauvais, mais dans la majorité des cas, il peut s'avérer préjudiciable. Tout dépend des besoins de votre organisation, de l'état d'esprit de vos employés et des performances de chacun.

Une communication transparente est la clé d'un succès durable, c'est pourquoi vous devez encourager les retours d'information ouverts. Vous pouvez également créer des canaux de signalement anonymes pour les employés qui souhaitent faire part de leurs préoccupations, mais qui ont trop peur pour le faire. Cela leur permettra d'exprimer ce qu'ils pensent sans avoir à recourir à des pratiques informatiques parallèles.

"

FAQs

Qu'est-ce que le Shadow IT en matière de cybersécurité ?

Le Shadow IT désigne tout logiciel, matériel ou service numérique utilisé à l'insu ou sans l'accord de votre service informatique. Cela se produit lorsque des employés créent des comptes cloud, téléchargent des applications ou utilisent des appareils personnels pour leurs tâches professionnelles. Ils contournent les canaux officiels afin d'accomplir leur travail plus rapidement. Dans ce cas, votre organisation perd toute visibilité et tout contrôle sur la destination des données de l'entreprise et la manière dont elles sont consultées. Vous ne pouvez pas protéger ce dont vous ignorez l'existence.

Qu'est-ce qu'une politique relative au shadow IT ?

Une politique relative au shadow IT établit des règles claires concernant l'utilisation de technologies non autorisées au sein de votre organisation. Elle décrit les outils que les employés peuvent utiliser, la manière de demander de nouveaux logiciels et les conséquences en cas de non-respect des règles. Vous pouvez adopter une approche à plusieurs niveaux en fonction des niveaux de risque : les outils à faible risque sont approuvés rapidement, ceux à risque moyen doivent être corrigés et ceux à haut risque sont immédiatement interdits. Si vous créez une bonne politique, vous devez prévoir une période de grâce pendant laquelle les employés peuvent déclarer les technologies parallèles existantes sans être sanctionnés.

Pourquoi le shadow IT est-il un problème ?

Le shadow IT crée d'importantes failles de sécurité dans votre réseau. Lorsque les employés utilisent des outils non approuvés, ils exposent les données sensibles à des violations potentielles. Vous ne pouvez pas corriger ou surveiller ce dont vous ignorez l'existence. Si vous êtes confronté au Shadow IT, vous devrez faire face à des coûts plus élevés liés aux violations de données, soit environ 4,24 millions de dollars en moyenne. Cela entraînera également des violations de la conformité à des réglementations telles que le RGPD, l'HIPAA et la norme PCI-DSS, ce qui se traduira par des sanctions et des amendes sévères.

Pourquoi le shadow IT apparaît-il dans les organisations ?

Les employés se tournent vers le shadow IT lorsque les outils officiels ne répondent pas à leurs besoins. Ils recherchent des options plus rapides et plus simples lorsque les logiciels approuvés leur semblent lourds ou obsolètes. Si vos processus d'approbation informatique sont stricts, les employés les contournent pour éviter les retards. Lorsque votre personnel ne peut pas faire son travail efficacement avec les outils autorisés, il trouve des alternatives. Ce comportement s'accentue lorsque le travail à distance exige des solutions rapides ou lorsque les employés ont besoin de fonctionnalités spécifiques qui ne sont pas disponibles dans les options approuvées par l'entreprise.

Quels sont les exemples de Shadow IT ?

Le Shadow IT se manifeste sous de nombreuses formes au sein de votre organisation. Les employés utilisent leurs comptes Google Drive ou Dropbox personnels pour partager des fichiers professionnels. Ils configurent des charges de travail cloud non autorisées à l'aide de leurs identifiants personnels. Si vous vérifiez leurs appareils, vous trouverez peut-être des applications de messagerie non approuvées telles que WhatsApp ou des comptes Zoom non autorisés. Ils achètent des abonnements SaaS qui ne dépassent pas les seuils d'achat informatiques. Vous pouvez également trouver des employés qui utilisent des outils de productivité tels que Trello ou Asana sans l'accord du service informatique.

Comment détecter le shadow IT ?

Vous pouvez détecter le shadow IT à l'aide d'outils de découverte des actifs qui analysent régulièrement votre réseau. Ils vous aideront à localiser les applications et les services cloud non autorisés. Si vous surveillez le trafic réseau, vous repérerez des schémas inhabituels qui signalent l'utilisation du shadow IT. Vous devez mettre en œuvre des outils automatisés de découverte du cloud qui détectent lorsque des employés accèdent à des services non autorisés. Des audits réguliers de l'inventaire permettent d'identifier les appareils personnels qui accèdent aux données de l'entreprise. Vous devez surveiller en permanence les applications SaaS à haut risque afin de suivre les modèles d'accès.

Comment les organisations peuvent-elles prévenir le Shadow IT ?

Vous devez créer des processus d'approbation clairs et simples pour les nouvelles technologies. Si vous mettez en place un système accéléré pour les outils à faible risque, les employés ne contourneront pas le service informatique. Discutez avec votre personnel des raisons pour lesquelles ils utilisent des outils non autorisés et comblez ces lacunes. Vous devez déployer des alternatives sécurisées qui répondent à leurs besoins : s'ils utilisent une application de messagerie non approuvée, proposez-leur Microsoft Teams ou Slack. Veillez à sensibiliser vos employés aux risques liés à la sécurité sans les punir pour avoir signalé le Shadow IT.

Qui est responsable de la gestion du shadow IT ?

Votre service informatique dirige la gestion du shadow IT, mais il ne peut pas le faire seul. Il aura besoin du soutien des chefs de service qui doivent appliquer les politiques. Si vous travaillez dans le domaine de la sécurité, vous surveillerez les réseaux et mettrez en œuvre des outils de détection. La direction doit allouer des ressources et soutenir la création de politiques. Vous devez demander aux employés de prendre leurs responsabilités en signalant les outils non autorisés qu'ils utilisent. Lorsque tout le monde travaille ensemble, vous créez une culture où le shadow IT devient visible au lieu d'être caché.

Comment le shadow IT affecte-t-il la conformité des données ?

Le shadow IT met votre conformité en danger. Lorsque les données transitent par des canaux non autorisés, vous ne respectez pas les exigences réglementaires telles que le RGPD, la loi HIPAA et la loi SOX. Si vous disposez d'informations sur vos clients dans des systèmes parallèles, vous ne pouvez pas appliquer les contrôles d'accès ou le chiffrement appropriés. Votre cadre de gouvernance des données s'effondre lorsque des données parallèles existent en dehors de la gestion centrale. Vous devez vous préoccuper avant tout des copies de données oubliées dans les environnements de développement ou les applications mises hors service qui contiennent des informations sensibles.