Qu'est-ce que le shadow IT ?

Qu'est-ce que le shadow IT ?

Le terme « Shadow IT » (informatique fantôme) désigne l'utilisation non autorisée de logiciels, de matériel ou d'autres systèmes et services au sein d'une organisation, souvent à l'insu du service informatique de cette organisation. Contrairement à l'infrastructure informatique standard, l'informatique fantôme n'est pas géré en interne par une organisation.

L'informatique fantôme peut pénétrer dans une organisation de différentes manières, mais il se produit généralement par l'une des deux actions suivantes :

1. L'utilisation d'un outil non approuvé pour accéder aux données de l'entreprise, les stocker ou les partager. Par exemple, si une organisation a exclusivement approuvé Google Workspace pour le partage de fichiers, un employé peut introduire le Shadow IT dans l'entreprise en choisissant de partager des fichiers via Microsoft 365.
2. Le fait d'accéder à un outil approuvé de manière non autorisée. Pour poursuivre l'exemple, si un service informatique a approuvé l'utilisation de Google Workspace par le biais de comptes gérés par l'entreprise, un employé peut introduire le Shadow IT dans l'entreprise en choisissant d'accéder à Google Workspace par le biais d'un compte personnel non géré.

Que l'adoption du Shadow IT soit intentionnelle ou non, elle engendre des problèmes de sécurité et des coûts importants. Elle augmente le risque de violations de données, de vol et d'autres cyberattaques, tout en empêchant les équipes informatiques de prendre des mesures cruciales pour minimiser les dommages qu'elles peuvent causer.

Pourquoi les utilisateurs adoptent-ils le Shadow IT ?

En raison des très nombreux risques de sécurité que présente le Shadow IT, il peut sembler surprenant que les employés choisissent de contourner l'approbation du service informatique lorsqu'ils adoptent de nouveaux outils. Ils peuvent agir de la sorte peuvent être les suivantes :

• Les employés ne sont pas conscients des risques de sécurité inhérents au Shadow IT. Les employés n'essaient peut-être pas délibérément de contourner les contrôles mis en place par leur département informatique, mais ils ignorent tout simplement pas que leurs actions peuvent compromettre les données sensibles de l'entreprise et augmenter le risque de violation et d'attaque des données.
• Les employés se concentrent davantage sur les avantages de l'utilisation d'outils non approuvés. Les meilleurs outils pour le travail peuvent ne pas être ceux qui ont été explicitement approuvés par le département informatique d'une organisation. Cela pousse souvent les employés à adopter des services supplémentaires qui les aident à répondre à un besoin professionnel spécifique, à obtenir un avantage concurrentiel sur leur marché ou à collaborer plus efficacement.
• Les employés utilisent des outils non approuvés pour mener des activités malveillantes. La plupart des systèmes informatiques parallèles ne sont pas adoptées à des fins malveillantes ; toutefois, certains employés peuvent choisir d'adopter des applications et des outils non approuvés afin de voler des données, d'accéder à des informations confidentielles ou d'introduire d'autres risques pour l'organisation.

Quels sont les risques du Shadow IT ?

Si l'informatique fantôme peut faciliter le travail de certains employés, ses inconvénients l'emportent largement sur ses avantages. Si les équipes informatiques ne sont pas en mesure de suivre la manière dont les outils et les services sont utilisés au sein de leur organisation, elles risquent d'ignorer l'ampleur de l'informatique fantôme et de ne pas savoir comment les données de l'entreprise sont consultées, stockées et transférées.

L'utilisation de l'informatique fantôme fait également perdre aux équipes informatiques le contrôle de la gestion et du mouvement des données. Lorsque les employés mettent en œuvre des services non approuvés ou travaillent dans des services approuvés via des méthodes non approuvées, ils peuvent être en mesure de visualiser et de déplacer des données sensibles sans la surveillance appropriée du service informatique. En raison de ce manque de visibilité et de contrôle, l'informatique fantôme peut créer des risques supplémentaires, notamment les suivants :

• Les données sensibles peuvent être compromises ou dérobées. Les acteurs malveillants peuvent exploiter les erreurs de configuration et les vulnérabilités des services hébergés dans le cloud afin d'ouvrir la voie aux violations de données et aux autres cyberattaques. Ces attaques peuvent être conduites à l'insu du service IT, notamment lorsqu'elles visent des applications et des outils non approuvés (et potentiellement non sécurisés). Le déploiement de mesures correctives à ces attaques peut également s'avérer coûteux. Dans une étude réalisée en 2020, IBM a ainsi estimé que les violations de données entraînées par les erreurs de configuration du cloud coûtent en moyenne 4,41 millions de dollars.
• Les organisations peuvent être sans le savoir en infraction avec les lois sur la conformité des données. Pour les organisations qui doivent se conformer aux réglementations sur la protection des données (par exemple, le RGPD), il est impératif qu'elles aient la capacité de suivre et de contrôler la façon dont les données sont traitées et partagées. Lorsque les employés utilisent des outils non autorisés pour traiter des données sensibles, ils peuvent par inadvertance faire courir à leur organisation le risque d'enfreindre ces lois, ce qui peut entraîner de lourdes pénalités et amendes.

Comment les organisations peuvent-elles détecter le Shadow IT et y remédier ?

Il existe plusieurs mesures qu'une équipe informatique peut prendre pour minimiser les effets du Shadow IT au sein de son organisation :

• Mettre en œuvre la détection du shadow IT. L'utilisation d'un outil de découverte du shadow IT peut aider les équipes informatiques à découvrir, suivre et analyser tous les systèmes et services –approuvés ou non – que les employés utilisent actuellement. Ensuite, les équipes informatiques peuvent créer des politiques pour autoriser, restreindre ou bloquer l'utilisation de ces outils selon les besoins.
• Utilisez un CASB ou adoptez une architecture SASE. Un CASB (Cloud Access Security Broker, agent de sécurité des accès au cloud) contribue à protéger les applications et les services hébergés dans le cloud grâce à des technologies de sécurité groupées, parmi lesquelles l'identification de l'informatique fantôme (Shadow IT), le contrôle des accès, la prévention de perte des données (DLP, Data Loss Prevention), l'isolement de navigateur et bien d'autres. Cet outil est inclus dans l'architecture SASE.
• Améliorer la formation des employés à la gestion des risques. Les employés peuvent ne pas être conscients des risques de sécurité liés à le Shadow IT. La formation des utilisateurs aux meilleures pratiques : ne pas utiliser d'e-mail personnel pour accéder aux ressources de l'entreprise, divulguer l'utilisation de tout matériel et logiciel non autorisé, signaler les violations de données, etc.
• Communiquez avec les employés sur les outils dont ils ont besoin. Les employés savent souvent quels sont les outils qui conviennent le mieux à leur travail, mais peuvent ne pas se sentir à l'aise pour demander l'approbation explicite du service informatique en raison de contraintes budgétaires ou d'autres préoccupations. L'ouverture de ces conversations et la mise en œuvre d'une culture « sans reproche » (pour ceux qui ont déjà adopté le Shadow IT) peuvent contribuer à favoriser un environnement de travail plus ouvert et plus sûr.

Qu'est-ce qu'une politique de Shadow IT ?

Une politique informatique parallèle permet d'établir des protocoles pour l'adoption, l'approbation et la gestion de nouveaux matériels et logiciels au sein d'une organisation. Les services informatiques créent ces politiques et peuvent les adapter en fonction de l'évolution des risques de sécurité et des besoins de l'entreprise.

Les politiques d'informatique fantôme sont l'une des nombreuses étapes nécessaires pour contrôler et gérer les systèmes et les services au sein d'une organisation, tout en évitant l'introduction de tout outil non approuvé. Cependant, de nombreuses organisations n'ont toujours pas normalisé les politiques d'informatique fantôme ; dans une enquête menée auprès de 1 000 professionnels américains de l'informatique, Entrust a constaté que 37 % des personnes interrogées ont déclaré que leur organisation n'avait pas de conséquences claires pour l'utilisation de l'informatique fantôme.

Comment Cloudflare se protège-t-il contre le Shadow IT ?

La suite de sécurité Zero Trust de Cloudflare aide les services informatiques à identifier, à cataloguer et à gérer plus facilement les outils non approuvés au sein de l'entreprise. Cliquez sur le lien pour en apprendre davantage sur la manière dont Cloudflare détecte l'informatique fantôme.

FAQ

Qu'est-ce que le shadow IT ?

Le terme « Shadow IT » (informatique fantôme) désigne l’utilisation de logiciels, de matériel ou d’autres services numériques au sein d’une organisation sans l’approbation ni la supervision du service informatique. Cela se produit lorsque les employés utilisent des outils non approuvés ou accèdent à des outils approuvés mais par des méthodes non autorisées. L’informatique fantôme (Shadow IT) est particulièrement courante avec l’utilisation des applications SaaS.

Pourquoi les employés ont-ils recours à l’informatique fantôme généralement ?

La plupart des collaborateurs utilisent des outils non approuvés pour gagner en efficacité dans leur travail ou pour régler des problèmes opérationnels spécifiques que les outils approuvés ne permettent pas de résoudre. Dans de nombreux cas, les utilisateurs ignorent les risques de sécurité impliqués. Il arrive toutefois, plus rarement, que l’informatique fantôme (Shadow IT) soit utilisée pour des activités malveillantes telles que le vol de données.

Quels sont les principaux risques de sécurité associés au l’informatique fantôme ?

L’informatique fantôme (Shadow IT) crée des angles morts pour les équipes de sécurité, ce qui provoque un manque de visibilité et de contrôle sur la manière dont les données se déplacent. Cette situation aggrave le risque de violations de données liées à des services cloud mal configurés et peut entraîner des violations involontaires des lois sur la conformité des données.

Quelle peut-être l’aide d’un CASB (Cloud Access Security Broker) dans la gestion de l’informatique fantôme (Shadow IT) ?

Un CASB fournit une suite de technologies de sécurité conçues pour protéger les services hébergés dans le cloud. Il aide les équipes informatiques à découvrir et analyser les applications non autorisées utilisées à l’échelle de l’entreprise, afin de leur permettre de mettre en œuvre des politiques qui permettent d’autoriser, de restreindre ou de bloquer ces outils et ainsi d’éviter la perte de données.

Quelles mesures les organisations peuvent-elles prendre pour réduire les conséquences de l’informatique fantôme (Shadow IT) ?

Les entreprises peuvent limiter les risques en utilisant des outils de découverte afin de répertorier les services non autorisés et en favorisant une culture sans reproche, dans laquelle les collaborateurs se sentent à l’aise pour demander les outils dont ils ont besoin. De plus, grâce à la formation à la gestion des risques, les collaborateurs sont mieux à même de comprendre pourquoi l’utilisation de comptes personnels ou d’équipements non approuvés met en danger les données de l’entreprise.

Quel est l’objectif d’une politique d’informatique fantôme (Shadow IT) ?

Une politique d’informatique fantôme (Shadow IT) établit des protocoles clairs sur la manière dont les nouveaux matériels et logiciels doivent être demandés, approuvés et gérés. Ces politiques contribuent à normaliser les pratiques de sécurité et à garantir que chaque outil utilisé au sein de l’entreprise répond aux conditions nécessaires en matière de sécurité et de conformité.