Ce qui relève du Shadow IT
Ce qui définit le shadow IT n'est pas le type de technologie, mais l'absence de connaissance et d'approbation de la part de l'informatique. Le même compte de stockage cloud est une ressource validée lorsque le service informatique la fournit. Il devient du shadow IT quand un employé l'a ouvert de sa propre initiative pour aller plus vite.
Le shadow IT prend trois formes : le matériel, comme une clé USB personnelle, un ordinateur portable non géré ou un routeur rapporté de chez soi ; les logiciels installés directement sur un poste de l'entreprise sans demande ; et les services cloud ou SaaS souscrits avec une adresse professionnelle et une carte bancaire, hors des achats.
Le shadow AI est un terme plus récent et plus restreint, qui désigne l'usage par des employés de chatbots d'IA publics ou d'outils dotés d'IA sans approbation. Il est généralement considéré comme un sous-ensemble du shadow IT. Il mérite d'être cité à part, car les outils d'IA gratuits se diffusent vite et peuvent absorber des textes sensibles collés par les utilisateurs.
Pourquoi le Shadow IT apparaît
Le shadow IT est rarement une tentative délibérée de contourner la sécurité. Il naît de frictions du quotidien :
| Cause | Ce qui la déclenche |
|---|---|
| Rapidité | Un compte gratuit s'ouvre en cinq minutes, une demande formelle attend |
| Familiarité | Les employés apportent des outils déjà connus d'autres emplois |
| Lacunes du parc approuvé | Quand le logiciel de l'entreprise échoue, on en trouve un autre |
| Télétravail et travail hybride | Les appareils personnels brouillent la frontière avec l'outil professionnel |
| Coût apparent faible | Des outils SaaS peu chers passent en frais sans grand contrôle d'achat |
Ce que voit l'informatique sur un poste
L'onglet Applications de la fiche d'un poste montre les logiciels installés, la couche où l'inventaire logiciel révèle les programmes que personne n'a demandés.
Exemples courants
Le shadow IT prend de nombreuses formes. Voici les plus fréquentes :
- Comptes personnels de stockage cloud ou de partage de fichiers utilisés pour transférer des documents entre le domicile et le bureau.
- Messageries grand public utilisées pour des échanges professionnels, à la place de la plateforme approuvée.
- Une équipe qui souscrit avec son propre budget à un outil SaaS de gestion de projet ou de conception, sans implication de l'informatique.
- Clés USB personnelles, disques durs externes, ou ordinateur portable ou téléphone personnel connecté au réseau de l'entreprise.
- Extensions de navigateur ou petites applications utilitaires installées pour gagner du temps sur une tâche courante.
- Outils d'IA publics non autorisés utilisés pour rédiger, résumer ou analyser des contenus de travail (shadow AI).
Pourquoi le Shadow IT est risqué
Le shadow IT échappant à l'inventaire de l'informatique, les protections habituelles ne s'appliquent pas :
| Risque | Ce qui peut mal tourner |
|---|---|
| Absence de supervision de sécurité | Correctifs et antivirus ne couvrent pas les logiciels non approuvés |
| Flux de données incontrôlé | Les données sortent des contrôles d'accès et de la piste d'audit |
| Exposition à la conformité | Les règles de stockage des données réglementées ne peuvent pas être appliquées |
| Dépenses dupliquées | Des équipes paient des outils qui doublonnent des licences existantes |
| Absence de support | Si l'installateur part, l'informatique n'a ni trace ni moyen d'aider |
Comment les organisations détectent et gèrent le Shadow IT
Le shadow IT se définissant par le manque de visibilité de l'informatique, sa gestion commence par restaurer cette visibilité, grâce à la découverte automatisée et à un registre des actifs informatiques à jour. Il faut ensuite traiter les causes :
- 1
Inventaire et découverte automatisés
Les agents sur les postes et les analyses réseau signalent le matériel réellement connecté et les logiciels réellement installés, y compris des éléments jamais saisis dans le registre.
- 2
Configurations de référence
Comparer ce qui est connecté à un ordinateur avec sa configuration approuvée signale les appareils qui en sortent.
- 3
Visibilité du trafic réseau et cloud
Surveiller les services cloud et les destinations du trafic révèle les usages SaaS jamais passés par les achats.
- 4
Politique et circuit d'approbation plus rapide
Un processus clair et rapide pour demander des outils réduit l'envie de contourner l'informatique.
- 5
Sensibilisation des employés
Expliquer le risque en termes simples, plutôt que simplement interdire les outils, incite à demander avant d'installer.
À quoi cela ressemble dans Anexet
Anexet Inventory donne à l'informatique une vue de ce qui est installé et connecté sur chaque poste.
1 / 4
Commencer par la visibilité
Le shadow IT se définit par le manque de visibilité de l'informatique, donc la première étape consiste à la restaurer. Il faut ensuite traiter les causes, comme la lenteur des approbations et les lacunes des outils approuvés.
Pour aller plus loin : Sécurité d'entreprise; Top 10 des mythes qui empêchent votre entreprise de s'engager dans la sécurité de l'information.
Gérer le shadow IT commence par restaurer la visibilité de l'informatique, puis traiter les causes.
Anexet TeamComment Anexet traite ce sujet
Anexet ne désigne pas une fonctionnalité unique sous le nom de « détection du shadow IT », mais son module Inventory donne à l'informatique la visibilité que le shadow IT dissimule habituellement :
Comme la plateforme est déployée on-premise, les données matérielles et logicielles découvertes restent à l'intérieur de la propre infrastructure de l'organisation.
Inventaire logiciel complet par ordinateur
l'onglet Applications répertorie chaque programme installé sur chaque poste de travail, avec l'éditeur, la date d'installation, la taille, la version et le chemin, donnant à l'informatique une image complète de ce qui tourne réellement, plutôt que de ce qui a été formellement demandé.
Alertes de déviation de configuration
une configuration de référence peut être fixée pour chaque ordinateur ; un appareil connecté qui en sort, ou un appareil attendu qui n'est plus détecté, est signalé et remonté au responsable de la sécurité, révélant du matériel arrivé sur le réseau en dehors des canaux approuvés.
Sites et applications non catégorisés
la surveillance de l'activité regroupe les sites visités et les applications utilisées par catégories, et les éléments qui sortent des catégories connues se distinguent comme des destinations non reconnues méritant un examen.
Gestionnaire d'appareils et plan du bureau
les appareils peuvent être examinés, rattachés aux fiches des ordinateurs et localisés sur un plan visuel du bureau, ce qui facilite la détection d'équipements jamais saisis dans la configuration approuvée.
Piste d'audit
chaque ajout, modification ou reclassement d'un appareil ou d'une configuration est consigné, de sorte qu'un élément de matériel de l'ombre nouvellement découvert dispose déjà d'un historique enregistré dès l'instant où il a été trouvé.
Anexet Inventory
En savoir plus