Qu’est-ce que le Shadow IT ? Risques et bonnes pratiques

Vos collaborateurs ne sont peut-être pas satisfaits de vos technologies ou workflows actuels. Certains n’ont peut-être pas encore exprimé leurs inquiétudes face aux problèmes qui se profilent au travail. Les risques du Shadow IT ne doivent pas être négligés, et ces frustrations en sont souvent le point de départ. Un collaborateur mécontent, qui craint de s’exprimer dans son environnement de travail, peut utiliser un outil de Shadow IT pour accomplir ses tâches.

Pourquoi ? Parce qu’il ne veut pas contrarier son responsable ni révéler aux autres l’inefficacité des processus actuels. Mais sans le savoir, cette initiative peut créer de nouveaux risques. Le logiciel utilisé peut contenir du code malveillant, ou être encore au stade de prototype ou de version bêta. Ce guide explique ce qu’est le Shadow IT en cybersécurité. Vous découvrirez comment fonctionne la sécurité du Shadow IT, quels outils sont concernés et bien plus encore.

Qu’est-ce que le Shadow IT ?

Les outils de sécurité et systèmes informatiques traditionnels ne suffisent pas toujours à accomplir certaines tâches. Des collaborateurs choisissent alors des logiciels et outils spécialisés non approuvés par la DSI. Le Shadow IT devient un problème majeur pour les entreprises : il contourne les restrictions et présente plusieurs risques de sécurité. Selon une étude de Gartner, les collaborateurs continueront à modifier ou à créer des technologies hors de la visibilité de la DSI.

La plupart des risques de sécurité liés au Shadow IT sont cachés à la vue de tous. Pourtant, ils passent souvent inaperçus et peuvent être très longs à détecter. Outils SaaS inconnus, anciens systèmes toujours utilisés malgré leur retrait prévu, bases de données redondantes, partage non autorisé de fichiers ou collaboration sur des plateformes non approuvées : autant d’exemples de Shadow IT dans les environnements sur site, hybrides et multicloud.

Les causes du Shadow IT

Le Shadow IT répond souvent à des besoins professionnels précis : les collaborateurs utilisent ces outils par commodité. Voici les principales causes :

Parfois, les outils de sécurité et les systèmes informatiques traditionnels ne suffisent pas pour accomplir certaines tâches. C'est alors que certains employés décident d'utiliser des logiciels et des outils spécialisés qui ne sont pas approuvés par les autorités et les systèmes informatiques centraux. Le Shadow IT devient un problème majeur pour les entreprises, non seulement parce qu'il contourne les limites, mais aussi parce qu'il présente plusieurs risques pour la sécurité. Selon une étude de Gartner, les employés continueront à l'avenir à modifier ou à créer des technologies qui échappent à la visibilité des services informatiques.
• Une méconnaissance des risques de sécurité – Certains collaborateurs pensent sincèrement que ces outils non autorisés sont sûrs. Ils ignorent parfois qu’ils peuvent contenir des malwares.
• Des procédures d’approbation lentes – Les longs délais d’approbation des nouveaux logiciels et outils peuvent lasser les collaborateurs. Ils adoptent alors des pratiques de Shadow IT à l’insu des autres membres de l’entreprise.
• Des contraintes budgétaires – Certains outils de Shadow IT semblent plus abordables que les logiciels approuvés par l’entreprise, sans plafond d’utilisation ni restriction. Cela incite les collaborateurs à les adopter.

Les conséquences du Shadow IT

Le Shadow IT présente des risques réels qui évoluent discrètement en arrière-plan, sans signe visible.

Voici quelques conséquences des menaces liées au Shadow IT :

Causes de l'informatique parallèle
• Des utilisateurs disposant d’un accès non autorisé peuvent modifier des données sensibles et des bases de données clients. Ils peuvent même altérer des dossiers médicaux, falsifier des informations et perturber les activités quotidiennes de l’entreprise.
• Les activités de Shadow IT peuvent introduire du code malveillant à n’importe quelle étape de la production, volontairement ou non. Elles peuvent rendre les entreprises plus vulnérables aux attaques zero-day et aux ransomwares. Elles peuvent aussi contourner les pare-feu, les systèmes de détection d’intrusion et les antivirus.

Comment détecter le Shadow IT ?

Une surveillance et des vérifications régulières du réseau révèlent le Shadow IT. Voici quelques méthodes :

• Surveillez le trafic réseau pour repérer les transferts de données inhabituels ou les connexions suspectes
• Analysez les notes de frais et les données d’achat disponibles pour repérer les logiciels achetés sans autorisation
• Connectez-vous à vos fournisseurs de SSO et d’identité, comme Google Workspace ou Azure Active Directory, pour identifier les utilisateurs des applications
• Déployez des agents de découverte et des extensions de navigateur pour repérer les applications installées sur les terminaux
• Formez les collaborateurs à signaler les nouvelles applications non approuvées qu’ils utilisent
• Sans évaluations de sécurité régulières, le Shadow IT continuera de se développer sans être détecté
• Surveillez les usages du cloud pour identifier les accès à des services cloud non autorisés
• Avant de déployer un outil, dressez un inventaire complet des applications approuvées
• Combinez ces méthodes pour obtenir une visibilité complète

Comment prévenir et maîtriser le Shadow IT ?

Une plus grande familiarité – Les employés peuvent se sentir plus à l'aise ou plus productifs sur leur lieu de travail grâce à l'utilisation d'outils informatiques parallèles. Ils peuvent avoir l'impression que ces technologies les aident à accomplir leurs tâches plus rapidement et plus facilement.

Manque de sensibilisation à la sécurité et aux risques – Certains employés sont vraiment crédules et pensent que ces outils non autorisés sont sûrs. Ils ne sont peut-être pas conscients du fait que les outils informatiques parallèles peuvent contenir des logiciels malveillants.

Lenteur des processus d'approbation – Les employés peuvent se lasser des longs délais d'attente pour obtenir l'approbation de nouveaux logiciels ou outils. Ils ont alors recours à des pratiques informatiques parallèles à l'insu des autres membres de l'organisation.

Contraintes budgétaires – Certains outils informatiques parallèles sont considérés comme des alternatives plus abordables, sans limite ni restriction d'utilisation, que les logiciels approuvés au sein de l'organisation. Cela incite les employés à les utiliser.

Voici comment prévenir et maîtriser les risques liés au Shadow IT :

Impact du shadow IT
• Essayez les Cloud Access Security Brokers (CASB) – Les Cloud Access Security Brokers (CASBs) peuvent contrôler les accès aux réseaux de votre entreprise et renforcer la sécurité du cloud. Ils servent à appliquer les protocoles de chiffrement, les contrôles d’accès et les mesures de prévention des pertes de données (DLP) mesures. Vous pouvez aussi prévenir les fuites de données et protéger les données sensibles, tout en appliquant les meilleures pratiques de sécurité SaaS grâce à ces outils.
• Intégrer une formation à l’informatique fantôme et à la gestion des risques – Cela va de soi, mais tous les collaborateurs doivent être formés, qu’ils connaissent ou non les pratiques d’informatique fantôme. Quand chacun comprend les enjeux et connaît les dernières évolutions de l’informatique fantôme, le risque de se faire piéger ou surprendre diminue. Organisez régulièrement des formations et évaluez de temps à autre les connaissances de vos collaborateurs. Ils doivent aussi savoir quelles alternatives utiliser s’ils préfèrent d’autres solutions.

Avantages de l’informatique fantôme

Les outils d’informatique fantôme présentent certains avantages pour leurs utilisateurs :

• Les applications d’informatique fantôme peuvent faciliter le partage de fichiers et les échanges de messages. Elles peuvent accélérer la collaboration entre collaborateurs et rendre la communication entre services plus efficace.
• Les technologies d’informatique fantôme sont très souples et faciles à mettre en place. Vous pouvez les déployer rapidement et les intégrer à vos systèmes. Elles peuvent aussi réduire les pertes d’efficacité ou les goulots d’étranglement dans votre organisation.
• Les outils d’informatique fantôme sont aussi très personnalisables : vous pouvez ajouter ou supprimer des fonctionnalités selon vos besoins. Ils ne sont pas aussi contraints que les logiciels prêts à l’emploi et ne comportent pas nécessairement les règles intégrées des services cloud. Certaines technologies d’informatique fantôme sont entièrement open source et gratuites, ce qui réduit également les coûts.

Risques et défis de l’informatique fantôme

Voici quelques risques et défis liés à l’informatique fantôme :

Manque de visibilité

Le Shadow IT peut contourner l'authentification multifactorielle (MFA) et les contrôles d'accès basés sur les rôles. Ses systèmes peuvent entraîner une augmentation des risques liés à la production, tels que le vol de données, les pertes, les dommages causés aux applications et les logiciels malveillants.

Les utilisateurs disposant d'un accès non autorisé peuvent apporter des modifications critiques aux données sensibles et aux bases de données clients. Ils pourraient même modifier des dossiers médicaux, falsifier des informations et affecter les opérations quotidiennes de l'entreprise.

Les activités informatiques parallèles peuvent injecter du code malveillant dans n'importe quelle partie du processus de production, de manière involontaire ou intentionnelle. Elles peuvent rendre les organisations plus vulnérables aux attaques zero-day et aux ransomwares. Elles peuvent également contourner les pare-feu et les systèmes de détection d'intrusion et antivirus.

Les équipes informatiques ignorent ce qui se passe en arrière-plan lorsque les collaborateurs utilisent des outils et des applications cloud non autorisés. Elles perdent en visibilité, ce qui complique la gestion de la sécurité. L’entreprise ne peut plus suivre les dernières mises à jour de sécurité ni appliquer efficacement des mesures de sécurité strictes.

Sécurité des données insuffisante

Les outils d’informatique fantôme peuvent entraîner des fuites de données sensibles ou des partages de fichiers non sécurisés. Comme ils proviennent de fournisseurs non approuvés, personne ne sait ce qu’il peut advenir des données qu’ils stockent et transmettent. Ces risques peuvent nuire gravement à la réputation et aux finances d’une organisation.

Création de failles de conformité

L’informatique fantôme peut créer de nouvelles failles de conformité et entraîner des infractions aux règles de protection des données en vigueur, comme le CIS Benchmark, le NIST, la HIPAA ou le RGPD. Les outils non autorisés ne respectent pas toujours les normes du secteur et peuvent exposer l’entreprise à des amendes, des poursuites judiciaires et d’autres sanctions.

Pertes d’efficacité et workflows fragmentés

Vous pouvez effectuer des audits réguliers du réseau afin d'identifier les applications et services non autorisés qui s'exécutent sur votre réseau

Vous devez mettre en place une surveillance du trafic réseau afin de repérer les transferts de données inhabituels ou les connexions suspectes

Si vous disposez de notes de frais et de données d'achat, vous pouvez les analyser pour détecter les achats de logiciels non autorisés

Vous devez vous connecter à vos fournisseurs d'authentification unique (SSO) et d'identifiants tels que Google Workspace ou Azure Active Directory pour suivre les utilisateurs des applications

Il existe des agents de découverte et des extensions de navigateur que vous pouvez déployer pour trouver les applications installées sur les terminaux

Vous devez former vos employés à signaler les nouvelles applications qu'ils utilisent et qui n'ont pas été approuvées.

Si vous ne procédez pas à des évaluations de sécurité régulières, le shadow IT continuera de se développer sans être détecté. Vous pouvez surveiller les modèles d'utilisation du cloud afin d'identifier les services cloud non autorisés auxquels les utilisateurs accèdent. Avant de mettre en œuvre une solution, dressez un inventaire complet de toutes les applications approuvées.

Il faudra combiner ces méthodes pour obtenir une visibilité complète

Les applications d’informatique fantôme s’intègrent difficilement aux systèmes informatiques. Elles peuvent fragmenter les workflows, créer des incohérences dans les données et perturber les opérations. À terme, ces problèmes peuvent peser sur la productivité des collaborateurs et sur l’ensemble de l’organisation.

Bonnes pratiques pour gérer l’informatique fantôme

Voici quelques bonnes pratiques pour gérer l’informatique fantôme dans votre organisation :

Voici comment vous pouvez prévenir et contrôler les risques liés au shadow IT :
• Examinez également les contrôles d’accès et veillez à respecter vos obligations légales et réglementaires. Analysez toutes les transactions associées aux applications non autorisées, comparez leurs données et relevez les volumes de téléchargement et d’envoi.
• Vérifiez vos paramètres de sécurité et assurez-vous que votre organisation utilise les normes de chiffrement les plus récentes. Si des systèmes ne sont pas corrigés ou si des mises à jour manquent, intervenez immédiatement. Définissez aussi des politiques dynamiques et granulaires pour contrôler efficacement les transferts de données entre les applications et les utilisateurs.
• Adoptez le principe du moindre privilège et établissez une architecture de sécurité réseau Zero Trust. Réexaminez régulièrement vos politiques et recueillez les retours des utilisateurs finaux pour en évaluer l’efficacité.
• Prévoyez aussi des mécanismes d’exception, utiles lorsque votre organisation ne souhaite pas appliquer certaines politiques ou certains contrôles. Vous conserverez ainsi de la souplesse sans imposer le recours aux technologies et outils d’informatique fantôme.

Exemples d’informatique fantôme

Voici quelques exemples concrets d’informatique fantôme :

Utilisez des outils de détection du Shadow IT – Ces outils peuvent aider votre entreprise à trouver et à identifier les technologies Shadow IT. Ils offrent une vue d'ensemble complète de tous les risques liés au shadow IT et fournissent des capacités de surveillance en temps réel. Votre service informatique bénéficiera ainsi de la visibilité dont il a besoin et sera en mesure de réagir rapidement aux problèmes liés au shadow IT.

Essayez les Cloud Security Access Brokers (CASB) – Les Cloud Security Access Brokers (CASBs) peuvent protéger les réseaux de votre entreprise et la sécurité du cloud. Ils peuvent être utilisés pour mettre en œuvre les meilleurs protocoles de chiffrement, contrôles d'accès et mesures de prévention des pertes de données (DLP). Vous pouvez également prévenir les fuites de données et garantir la protection des données sensibles, tout en appliquant les meilleures pratiques de sécurité SaaS.

Intégrer une formation sur la sensibilisation au shadow IT et la gestion des risques – Cela va sans dire, mais une formation est nécessaire pour tous les employés, qu'ils comprennent ou non les pratiques du shadow IT. Lorsque tout le monde est sur la même longueur d'onde et informé des dernières innovations en matière de shadow IT, les employés sont moins susceptibles d'être dupés ou pris au dépourvu. Il est important d'organiser régulièrement des sessions de formation et de tester les connaissances de vos employés de temps à autre. Ils doivent également savoir quelles alternatives au shadow IT utiliser s'ils préfèrent d'autres solutions.

• Télécharger un logiciel spécialisé sans l’autorisation préalable de l’organisation peut introduire des risques d’informatique fantôme dans le réseau de l’entreprise. Les collaborateurs peuvent aussi utiliser des outils de conception, des CRM, des comptes et d’autres applications SaaS non approuvés, au risque de créer des problèmes de conformité et de perdre le contrôle.
• Les collaborateurs peuvent utiliser des contrôles de politique d’informatique fantôme pour modifier les politiques de sécurité de leur organisation à l’insu du conseil d’administration et des parties prenantes. Quant aux politiques BYOD (utilisation d’appareils personnels à des fins professionnelles), ils peuvent choisir de les ignorer et travailler sur leurs ordinateurs portables, téléphones et tablettes personnels. Ces appareils ne sont pas gérés par le service informatique et introduisent plusieurs risques de cybersécurité liés à l’informatique fantôme.

Avantages du shadow IT

Conclusion

Vous savez maintenant comment prévenir l’informatique fantôme et empêcher l’utilisation de ces outils et technologies dans votre organisation. Toute pratique d’informatique fantôme n’est pas nécessairement mauvaise, mais elle peut se révéler néfaste dans la plupart des cas. Tout dépend des besoins de votre organisation, de l’état d’esprit de vos collaborateurs et de la manière dont chacun travaille.

Une communication transparente est essentielle pour maintenir de bons résultats. Encouragez donc les retours ouverts. Vous pouvez aussi créer des canaux de signalement anonymes pour les collaborateurs qui souhaitent exprimer leurs préoccupations, mais n’osent pas le faire. Ils pourront ainsi dire ce qu’ils pensent sans recourir à l’informatique fantôme.

• Les employés peuvent accomplir leurs tâches plus efficacement lorsqu'ils ont un accès direct aux logiciels nécessaires.
• Les applications informatiques parallèles peuvent faciliter le partage de fichiers et rendre la messagerie plus pratique. Elles permettent une collaboration plus rapide entre les employés et une communication beaucoup plus efficace entre les services.
• Les technologies informatiques parallèles sont très flexibles et faciles à mettre en œuvre. Elles peuvent être déployées rapidement et s'intègrent de manière transparente. Si votre organisation est confrontée à des problèmes de performance ou à des goulots d'étranglement, elles peuvent également y remédier.
• Les outils informatiques parallèles sont également très personnalisables, ce qui signifie que vous pouvez ajouter ou supprimer des fonctionnalités à votre guise. Ils ne sont pas soumis à des restrictions comme les logiciels prêts à l'emploi ni à des règles intégrées comme les services cloud. Certaines technologies informatiques parallèles sont entièrement open source et gratuites, ce qui vous permet également de réaliser des économies.

Risques et défis liés au Shadow IT

Voici quelques-uns des risques et défis liés au Shadow IT :

Manque de visibilité

Les services informatiques ne savent pas ce qui se passe en arrière-plan lorsque les employés utilisent des outils non autorisés et des applications basées sur le cloud. Ils perdent le contrôle et il devient difficile de gérer la sécurité. L'entreprise perd la possibilité de suivre les dernières mises à jour de sécurité et ne peut pas appliquer efficacement des mesures de sécurité strictes.

Mauvaise sécurité des données

Les outils informatiques parallèles peuvent entraîner des fuites de données sensibles ou un partage de fichiers non sécurisé. Comme ces outils sont créés par des fournisseurs non agréés, il est impossible de savoir ce qu'il advient des données qui y sont stockées et transmises. Cela peut potentiellement causer de graves dommages à la réputation et aux finances d'une organisation.

Création de lacunes en matière de conformité

Le Shadow IT peut créer de nouvelles lacunes en matière de conformité et enfreindre les réglementations existantes en matière de protection des données, telles que le CIS Benchmark, le NIST, l'HIPAA ou le RGPD. Les outils non autorisés ne respectent pas toujours les normes du secteur et peuvent exposer une entreprise à des amendes, des poursuites judiciaires et d'autres sanctions.

Inefficacité et fragmentation des flux de travail

Les applications informatiques parallèles ne s'intègrent pas facilement dans les systèmes informatiques. Elles peuvent entraîner une fragmentation des flux de travail, des incohérences dans les données et des pannes opérationnelles. Au final, tous ces éléments peuvent avoir un impact sur la productivité des employés et, à long terme, sur l'organisation dans son ensemble.

Meilleures pratiques pour gérer le Shadow IT

Voici quelques-unes des meilleures pratiques que vous pouvez mettre en œuvre pour gérer le Shadow IT dans votre organisation :

• Passez en revue et auditez tous les comptes utilisateurs présents au sein de l'organisation, examinez également l'utilisation des applications SaaS et vérifiez si elles sont conformes aux exigences de votre organisation en matière d'utilisation et de tolérance au risque.
• Vous devez également examiner les contrôles d'accès et vous conformer aux obligations légales et réglementaires. Examinez toutes les transactions associées à des applications non autorisées, effectuez une analyse comparative des données de transaction et notez les volumes de téléchargement et de chargement pour chacune d'entre elles.
• Vérifiez vos paramètres de sécurité et assurez-vous que votre organisation utilise les dernières normes de cryptage. De plus, si vous constatez des signes de systèmes non corrigés ou d'absence de mises à jour, veuillez vous en occuper immédiatement. Il est également recommandé de créer des politiques dynamiques et de les rendre granulaires afin de pouvoir contrôler efficacement le transfert de données entre l'application et l'utilisateur.
• Adoptez le principe de l'accès avec le moins de privilèges possible et mettez en place une architecture de sécurité réseau " zero trust ". Réexaminez régulièrement vos politiques et recueillez les commentaires des utilisateurs finaux pour voir comment elles fonctionnent.
• Mettez également en place des mécanismes d'exception qui peuvent s'avérer utiles lorsque votre organisation ne souhaite pas appliquer certaines politiques ou contrôles spécifiques. Cela vous donnera plus de flexibilité et vous évitera d'avoir recours à des technologies et outils informatiques parallèles.

Exemples d'informatique parallèle

Voici quelques exemples d'informatique parallèle en action :

• Des applications tierces telles que Discord, Telegram, Signal et Slack peuvent être utilisées pour crypter les communications et diffuser des fichiers non autorisés. Les organisations ne peuvent pas suivre les flux d'informations sur ces services ni les surveiller.
• Le téléchargement de logiciels spécialisés sans l'accord préalable de l'organisation peut introduire des risques liés au shadow IT au sein du réseau de l'entreprise. Les employés peuvent également utiliser des outils de conception informatiques parallèles, des CRM, des comptes et d'autres applications SaaS qui peuvent créer des problèmes de conformité et un manque de contrôle.
• Les employés peuvent utiliser les contrôles de la politique informatique parallèle et personnaliser les politiques de sécurité existantes d'une organisation à leur insu, sans que les membres du conseil d'administration et les parties prenantes n'en aient connaissance. En ce qui concerne les politiques BYODBYOD (Bring Your Own Device), ils peuvent choisir de les ignorer et de travailler en apportant leurs ordinateurs portables, téléphones et tablettes personnels, qui ne sont pas gérés par le service informatique et introduisent plusieurs risques de cybersécurité liés au shadow IT.

Conclusion

Voilà comment vous pouvez prévenir le shadow IT et mettre fin à l'utilisation de ces outils et technologies dans votre organisation. Nous ne disons pas que tout le shadow IT est mauvais, mais dans la majorité des cas, il peut s'avérer préjudiciable. Tout dépend des besoins de votre organisation, de l'état d'esprit de vos employés et des performances de chacun.

Une communication transparente est la clé d'un succès durable, c'est pourquoi vous devez encourager les retours d'information ouverts. Vous pouvez également créer des canaux de signalement anonymes pour les employés qui souhaitent faire part de leurs préoccupations, mais qui ont trop peur pour le faire. Cela leur permettra d'exprimer ce qu'ils pensent sans avoir à recourir à des pratiques informatiques parallèles.

"