Shadow IT
Usage par les salariés d'applications, services cloud ou appareils non validés par l'entreprise, hors de tout contrôle de sécurité.
Définition complète
Le shadow IT (informatique fantôme) désigne les outils numériques utilisés dans l'entreprise sans validation ni connaissance de la direction ou du service informatique : stockage en ligne personnel, messagerie instantanée grand public, convertisseur PDF en ligne, extension de navigateur, ordinateur personnel, ou encore assistant d'intelligence artificielle générative dans lequel on colle des documents internes.
Les risques sont concrets : données de l'entreprise stockées hors de son contrôle (et parfois hors de l'Union européenne), comptes non protégés par une authentification forte, accès conservés par un salarié après son départ, traitements de données personnelles non déclarés au regard du RGPD, et impossibilité de réagir à un incident sur un outil dont on ignore l'existence.
Le shadow IT n'est pas seulement une faute des utilisateurs. La CNIL souligne que l'informatique fantôme révèle parfois des besoins essentiels non pourvus par l'organisme ou un dysfonctionnement structurel : l'interdire sans proposer d'alternative déplace souvent le problème.
Source : CNIL, Sécurité : définir un cadre pour les utilisateurs
Exemple concret
Dans un bureau d'études de 40 salariés, l'outil officiel ne permettait pas d'envoyer de gros fichiers. Les ingénieurs ont pris l'habitude d'utiliser un service de transfert gratuit et un espace de stockage personnel pour partager les plans avec les clients. Au départ d'un chef de projet, l'entreprise découvre qu'il conserve chez lui l'accès à trois ans de plans clients. Elle récupère les fichiers, déploie un outil de partage validé et l'intègre à la procédure de départ.
Comment se protéger
- Faire un inventaire des applications réellement utilisées, en interrogeant les équipes et en analysant les connexions
- Comprendre le besoin derrière chaque outil non validé avant de l'interdire
- Proposer des alternatives validées et simples d'usage
- Définir dans la charte informatique les règles d'usage, y compris pour l'IA générative
- Établir une procédure rapide de validation d'un nouvel outil
- Intégrer la récupération des accès et des données dans la procédure de départ
Questions fréquentes
Oui, si l'outil n'a pas été validé par l'entreprise. Le principal risque est d'y saisir des données confidentielles ou personnelles qui sortent alors du contrôle de l'entreprise.
Un blocage total est difficile et pousse souvent vers des contournements. Il est plus efficace de repérer les usages, de proposer des outils validés et de bloquer seulement les services les plus risqués.
Termes liés
CSPM
Outil qui vérifie en continu la configuration de vos environnements cloud et signale les réglages dangereux.
Ingénierie sociale
Manipulation psychologique pour obtenir des informations ou un accès.
RGPD
Règlement européen sur la protection des données personnelles.
Souveraineté des données (cloud)
Capacité à garder la maîtrise de ses données hébergées dans le cloud, notamment face aux lois étrangères qui permettraient d'y accéder.
Vous avez besoin d'un expert en Shadow IT ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.