Quels sont les risques du Shadow IT pour une entreprise ?

Le terme « Shadow IT » ne vous est pas familier ? Pourtant il y a de très forte chance qu’il soit présent dans votre entreprise. Et même que vous le pratiquiez. Plateformes de transfert de fichiers, drive, chat et réseaux sociaux, messageries externes… L’utilisation des services Cloud s’est installé au sein des entreprises de toutes tailles. Ces applications sont utilisées quotidiennement par les collaborateurs mais elles n’ont pas été testées, sécurisées et approuvées, par la Direction des Systèmes d’Information. Leur utilisation met en danger les données de l'organisation. Le Shadow IT représente une réelle problématique pour les DSI et une menace pour les entreprises.

Le Shadow IT, aussi appelé Rogue IT, désigne l’utilisation de systèmes informatiques, applications ou logiciels par les collaborateurs d’une entreprise sans l’approbation du Service Informatique. Ce terme englobe ainsi l’ensemble des moyens d’information, de communication et de transmissions de données en interne et en externe, non approuvés officiellement par la Direction des Systèmes d’Information.

Le Shadow IT génère des processus officieux qui échappe à la visibilité, au contrôle et à la gestion du Service Informatique. Ces processus dérogent aux standards et réglementations mis en place au sein de l'entreprise et représentent une menace importante.

Le phénomène du Shadow IT s’est énormément développé ces dernières années, notamment via le Cloud. Il s’est invité dans une très grande majorité des entreprises et se répand à vive allure, quelles que soient leur taille et secteur d’activité. Et bien que la plupart des collaborateurs ayant recours Shadow IT ne le fait pas dans l’intention de porter préjudice à l’entreprise, il est devenu un véritable cauchemar pour la DSI.

Digitalisation des process, avènement du Cloud, image négative de la DSI dans les entreprises… Les facteurs à l’origine du Shadow IT sont nombreux. Nous vous exposons ici les 3 causes principales de cette pratique.

 Préférences personnelles et accoutumance aux technologies

Dans leurs vies personnelles, les collaborateurs utilisent quotidiennement de nombreuses applications auxquelles ils se sont familiarisés. Les services Cloud répondent aujourd’hui à l’ensemble de leurs besoins : envoyer des mails, trouver une information, partager des fichiers… Les préférences personnelles de chacun se retrouvent ainsi appliquées aux outils de travail de la vie professionnelle.

A l’ère de la digitalisation, les collaborateurs sont massivement accoutumés aux technologies et aiment avoir le contrôle sur les applications et logiciels qu'ils utilisent. Ils savent comment trouver les outils correspondant à leurs besoins de manière autonome et très rapide.

   Une perception négative des mesures de la DSI

Plusieurs études ont révélé que les salariés des entreprises estiment devoir contourner les procédures officielles et les mesures de sécurité imposées par la DSI afin de pouvoir travailler efficacement.

Nombreux d’entre eux pensent ne pas avoir les moyens nécessaires à disposition pour réaliser leurs missions et ont recours au Shadow IT pour trouver les bonnes informations et atteindre les objectifs. Dans l’opinion collective, les règles appliquées par le service IT sont généralement perçues comme freinantes et trop strictes.

  Une recherche de résultats immédiats

Le phénomène du Shadow IT est également dû à une volonté de travailler plus efficacement et une recherche de rapidité de la part des collaborateurs. Ces derniers contournent les mesures imposées par la DSI en accédant directement à leurs propres logiciels afin de sauter la succession d’étapes d’approbation et de validation obligatoires. Ils ont la sensation que ces processus peuvent parfois prendre trop de temps et les bloquer dans leur travail et donc, limiter leur productivité.

    Le développement du Cloud

Le Cloud est clairement un facteur direct du Shadow IT, il a multiplié ses pratiques au sein des entreprises. La part des services Cloud déployés sans l'aval de la DSI est impressionnante. Selon une Etude du CESIN, le Club des Experts de la Sécurité de l’Information et du Numérique & Symantec les entreprises en utilisent 50 fois plus qu’elles n’en ont recensés.

D’une certaine façon, le Shadow IT a toujours existé au sein des entreprises. Il ne représentait pas forcément de risque à petite échelle mais ce n’est plus le cas aujourd’hui. Cette pratique est clairement l’un des premiers facteurs d’attaque pour les entreprises, ses conséquences peuvent être irréversibles en ce qui concerne leurs ressources principales en 2019 : les donnée.

    Menace de sécurité importante

Premièrement, le Shadow IT représente une véritable menace car il pose d’importantes questions de sécurité vis-à-vis des données de l’entreprise. La DSI ne peut pas appliquer de suivi sur les données utilisées dans les applications non autorisées, leur exposition non contrôlée est ainsi très risquée pour l’entreprise.

Plus globalement, le Shadow IT augmente les risques en matière de qualité, de fiabilité et de partage accidentel de données sensibles.

    Erreurs et doublons dans les données

Le Shadow IT multiplie les logiciels et applications utilisés au sein de l’entreprise, et donc les différents emplacements de stockage des données. Et plus les outils sont nombreux, plus les sources de conflits entre les données sont possibles : création de doublons, silotage des données, non circulation de l’information entre les plateformes etc…

Les risques de perte de données sont également une conséquence directe du cause le Shadow IT car les applications non officielles utilisées par les collaborateurs sans l’aval de la DSI ne peuvent pas faire l’objet de procédures de sauvegarde de données.

    Génération de coûts cachés

Le Shadow IT génère des coups cachés pour l’entreprise, notamment par rapport aux licences des logiciels sous utilisés, voire non utilisés. En effet, les collaborateurs travaillent davantage sur d’autres applications métier et services cloud au détriment des outils « officiels ». Le Shadow IT empêche ainsi les entreprises, et plus particulièrement le service informatique, d’obtenir un retour sur investissement satisfaisant sur les outils métiers acquis.

Le phénomène du Shadow IT est également à l’origine d’autres problématiques. L’utilisation d’applications et services annexes en Cloud peut affecter la bande passante de l’entreprise et donc être handicapant pour les autres employés. Ces utilisations créent des conflits de protocoles d’applications ou de réseaux.

Il devient une généralité et face à cela, la DSI doit d’abord bien comprendre les raisons qui incitent les collaborateurs à se diriger vers des solutions non officielles. Sa mission est de sensibiliser les salariés en leur expliquant clairement les risques potentiels d’une telle pratique pour l’entreprise.

Sources : Rapport du CESIN & Symantec - Avril 2018