Il faut remonter au développement du mobile et des applications cloud qui vont avec pour trouver les prémices du shadow IT, phénomène bien connu des services informatiques. Ces applications sont de plus en simples, de moins en moins couteuses pour celles qui ne sont pas gratuites, s’adaptent à tous les devices et sont pour la plupart, d’une simplicité d’utilisation déconcertante. C’est pourquoi les personnes utilisant ces applications dans leur vie privée souhaitent les intégrer dans leur quotidien professionnel. Mais voilà, la sécurité des contenus qui naviguent sur ces appli est loin d’être aussi intuitive que leur usage.
Qu’est-ce que le shadow IT ?
Le shadow IT, ou informatique fantôme, est l’usage, par les employés, de services cloud non autorisés, généralement dépourvus de contrôles de sécurité robustes et à l’insu de département informatique. Cette pratique résulte de la volonté des salariés à être plus productifs via des services efficaces, faciles à prendre en main et à moindre coût. Le shadow IT peut donc s’avérer être un véritable catalyseur d’innovation et de performance, mais il présente de très grands risques pour la sécurité des contenus des entreprises concernées. Et tenons-le pour acquis, la quasi-totalité des sociétés, et ce tous secteurs confondus, sont impliquées dans du shadow IT. L’informatique fantôme a considérablement augmenté ces dernières années en raison de la crise sanitaire et de ses bouleversements organisationnels. Le développement du télétravail et la possibilité de pouvoir collaborer sur mobile ou tablette, en plus du desktop, ont donc renforcé les risques d’altération, de perte, de vol ou de suppression des données. C’est pourquoi il est décisif de nos jours, de permettre aux salariés de travailler via une plateforme sécurisée de collaboration en ligne.
Quels sont les risques du shadow IT ?
Le shadow IT comporte des risques importants pour les contenus des entreprises. L’utilisation de services cloud non reconnus et validés au préalable par le département informatique fait courir des menaces sur tout l’écosystème IT de l’organisation. Les données peuvent se retrouver sur un réseau non sécurisé et donc être supprimées, altérées ou encore rendues accessibles à des personnes non autorisées, accroissant dans le même temps les risques de cyberattaques. De surcroit, les entreprises concernées se retrouvent en porte à faux avec le RGPD, ce qui peut avoir des conséquences juridiques et financières mais également sur l’image de l’organisation.
Quels sont les risques perçus par les utilisateurs finaux ?
- Accès des contenus à des personnes non autorisées
- Risque pour la réputation de l’entreprise
- Données perdues ou supprimées par le fournisseur cloud
- Risque d’exposer le matériel à des virus/logiciels malveillants
- Impossibilité de sécuriser l’utilisation du SaaS sur la totalité des appareils
- L’utilisation d’une application non reconnue me rendra directement responsable de toute perte ou fuite éventuelle de données
- Mon entreprise ne sera pas en conformité avec la réglementation
Quels sont les risques réels ?
- Que se passe-t-il lorsqu’un employé quitte la société ?
- Ou sont stockées les données ?
- Comment savoir si les données n’ont pas été compromises ?
- Gouvernance et audit
- Que se passe-t-il en cas de perte d’appareil ?
Les risques principaux pour les entreprises victimes de shadow IT résident dans la gouvernance des contenus. Dans le sens où l’organisation n’est plus propriétaire et souveraine de ses propres contenus.
Comment lutter contre le shadow IT ?
Lutter contre le shadow IT ne s’opère pas en une seule et unique tâche. Il s’agit d’un process complexe et surtout, qui s’accompli en continu. Quelles sont les étapes de ce processus ?
- Tout d’abord, il vous faudra identifier le problème. C’est-à-dire, la ou les solutions, applications, ou logiciels générateurs de shadow IT. Nous prendrons tout au long de cette démarche l’exemple du partage de fichiers en ligne, action quotidienne pour bon nombre de salariés.
- Ensuite, veillez à trouver qui utilise ces applications et pourquoi
- Puis, évaluez le niveau de risques(s) du shadow it. La principale menace étant la souveraineté de l’entreprise sur ses propres contenus, données, documents, qui est sérieusement mise à mal lorsque du shadow IT a lieu dans la société.
- Etablir des règles de gouvernance : beaucoup de collaboratrices et de collaborateurs ne sont pas conscients des risques et besoins en matière de protection des données d’entreprises et de RGPD. C’est pourquoi il est crucial de combler ce manque de connaissances et d’opérer une communication claire et accessible en la matière.
- Enfin, proposer des alternatives est l’étape ultime en plus d’être la clé pour lutter contre le shadow IT. Il s’agit de proposer des solutions sécurisées, simples et intuitives.
Le shadow IT ou informatique fantôme est une pratique très répandue dans nos entreprises. La soif de productivité encouragée par le développement effréné d’applications, de logiciels et d’outils toujours plus simples et efficaces se posent en véritables catalyseurs de ce phénomène pourtant très risqué pour les organisations. Car si la productivité doit être bien évidemment prise en compte dans les critères d’évaluation des solutions, la sécurité des contenus doit figurer en tête de liste. Et pour ce faire, c’est au département informatique d’approuver et de démocratiser l’utilisation de solutions robustes et sécurisées, mêlant efficacité et protection.
