Qu’est-ce que le shadow IT? Exemples, risques et comment le gérer

Le shadow IT (ou informatique fantôme) désigne tout logiciel, application, appareil ou service infonuagique que les employés utilisent pour le travail sans que le service des TI le sache ou l’ait approuvé. Il part généralement de bonnes intentions, comme travailler plus vite, mais il crée des risques de sécurité, de conformité et de coûts que l’entreprise ne voit pas.

Pensez à l’équipe qui partage des fichiers au moyen d’un compte Dropbox personnel, au gestionnaire qui s’abonne à un outil de gestion de projet avec une carte de crédit de l’entreprise, ou à l’employé qui colle des données de clients dans un robot conversationnel d’IA gratuit. Aucune de ces personnes ne cherche à nuire. Pourtant, chacune crée une brèche que les TI ne peuvent pas protéger, parce qu’elles ignorent son existence.

Ci-dessous, nous expliquons pourquoi le shadow IT apparaît, des exemples courants, les risques réels, la place du shadow AI, et comment le détecter et le gérer sans ralentir votre équipe.

Pourquoi le shadow IT apparaît-il?

Le shadow IT apparaît lorsque les employés estiment que les outils approuvés ne répondent pas à leurs besoins, ou que le processus d’approbation est trop long. Les raisons les plus courantes sont :

Rapidité : s’inscrire à une application gratuite prend quelques minutes. Attendre l’approbation des TI peut prendre des semaines.
De meilleurs outils : les employés peuvent trouver une application grand public plus facile à utiliser que le système officiel de l’entreprise.
Travail à distance et hybride : les personnes qui travaillent de la maison sont plus susceptibles d’utiliser des appareils et des applications personnels.
Inscriptions infonuagiques faciles : la plupart des outils SaaS ne demandent qu’une adresse courriel et une carte de crédit.
Manque de sensibilisation : bien des employés ignorent simplement qu’il existe une politique, ou ne voient pas le risque.

Exemples de shadow IT

Le shadow IT peut être presque n’importe quoi qui touche aux données de l’entreprise. Les exemples courants comprennent :

Partage de fichiers : des comptes Google Drive, Dropbox ou WeTransfer personnels utilisés pour partager des documents de travail.
Applications de messagerie : WhatsApp, Telegram ou des espaces Slack personnels utilisés pour des conversations avec des clients ou entre collègues.
Outils de productivité et de projet : Trello, Notion, Asana ou des outils semblables mis en place par une équipe sans l’intervention des TI.
Appareils personnels : des ordinateurs portables, des téléphones ou des clés USB qui ne sont ni gérés ni sécurisés par l’entreprise.
Extensions et modules de navigateur : des modules complémentaires qui peuvent lire tout le contenu des pages que les employés consultent.
Services infonuagiques non approuvés : des serveurs, des bases de données ou des comptes d’hébergement créés par un développeur ou un service sans passer par les TI.
Tableurs et macros : des processus d’affaires essentiels qui reposent sur le tableur non partagé d’une seule personne.
Outils d’IA : des robots conversationnels gratuits, des assistants de rédaction ou des outils de prise de notes par IA utilisés avec des données de l’entreprise ou des clients.

Quels sont les risques du shadow IT?

Le plus grand risque du shadow IT, c’est qu’on ne peut pas protéger ce qu’on ne voit pas. Les risques précis comprennent :

Fuites de données : des fichiers sensibles stockés dans des comptes personnels peuvent être partagés, perdus ou exposés sans que personne ne s’en aperçoive.
Failles de sécurité : les applications non approuvées n’ont pas toujours de mots de passe robustes, d’authentification multifacteur ou de mises à jour de sécurité, ce qui offre une porte d’entrée facile aux attaquants.
Problèmes de conformité : les lois sur la protection de la vie privée exigent que les entreprises sachent où sont stockés les renseignements personnels. Au Canada, cela comprend la LPRPDE et, pour les entreprises qui exercent leurs activités au Québec, la Loi 25. Des données qui se trouvent dans des applications inconnues rendent cette preuve impossible.
Données perdues au départ d’un employé : si le compte personnel d’un employé contient des fichiers de l’entreprise, ces fichiers peuvent partir avec lui.
Problèmes d’intégration et de qualité des données : l’information se retrouve éparpillée dans des outils déconnectés, si bien que personne n’a une vue d’ensemble.

Nos articles sur les erreurs courantes en cybersécurité et notre guide de la cybersécurité au Canada traitent de ces menaces plus en détail.

Quels sont les coûts cachés du shadow IT?

Le shadow IT semble souvent gratuit, mais il entraîne des coûts qui n’apparaissent que plus tard :

Abonnements en double : différentes équipes paient pour des outils identiques ou semblables sans le savoir.
Licences gaspillées : des comptes payants restent actifs longtemps après le départ de la personne qui les a créés.
Coûts liés aux atteintes et à la reprise : un seul compte exposé peut entraîner des frais d’enquête, de reprise et des frais juridiques bien supérieurs à n’importe quel abonnement.
Temps de soutien : les TI doivent réparer des outils qu’elles n’ont jamais mis en place et qu’elles ne comprennent pas entièrement.
Dette technique : les outils déconnectés et les solutions de contournement s’accumulent avec le temps, ce qui rend les changements futurs plus lents et plus coûteux. Pour en savoir plus, consultez notre guide sur la dette technique.

Qu’est-ce que le shadow AI?

Le shadow AI (ou IA fantôme) est l’utilisation d’outils d’IA, comme les robots conversationnels, les assistants de rédaction, les générateurs de code et les outils de prise de notes par IA, sans l’approbation ni la supervision des TI. C’est la forme de shadow IT qui croît le plus rapidement, parce que les outils d’IA sont gratuits ou peu coûteux, faciles d’accès et réellement utiles.

Le principal risque, c’est ce que les employés saisissent dans ces outils. Coller des renseignements sur des clients, des contrats, des données financières ou du code source dans un service d’IA public peut signifier que ces données sont stockées, journalisées ou utilisées d’une manière que l’entreprise n’a pas acceptée. Le contenu et le code générés par l’IA peuvent aussi être inexacts ou peu sûrs si personne ne les vérifie.

Shadow IT ou shadow AI

	Shadow IT	Shadow AI
Définition	Toute application, tout appareil ou tout service non approuvé	Outils et fonctionnalités d’IA non approuvés
Exemples typiques	Stockage infonuagique personnel, applications de messagerie, appareils non gérés	Robots conversationnels gratuits, outils de rédaction par IA, outils de prise de notes de réunion par IA, assistants de code
Principal risque	Des données stockées là où les TI ne peuvent pas les sécuriser	Des données sensibles transmises à des modèles d’IA externes, plus des résultats d’IA non vérifiés
Comment le repérer	Surveillance du réseau, découverte des applications SaaS, examen des dépenses	Les mêmes méthodes, plus la surveillance du navigateur et de l’utilisation de l’IA
Meilleure réponse	Offrir des solutions approuvées et une politique claire	Offrir des outils d’IA approuvés et une politique claire sur l’utilisation de l’IA

Comment détecter le shadow IT

Vous pouvez détecter le shadow IT en cherchant les applications et les services là où ils laissent des traces :

Examinez les dépenses et les relevés de carte : repérez les frais logiciels récurrents sur les cartes de l’entreprise ou les dépenses remboursées.
Vérifiez les journaux d’authentification unique et d’identité : voyez quelles applications externes les employés relient à leurs comptes professionnels.
Surveillez le trafic réseau et DNS : repérez les connexions à des services infonuagiques qui ne figurent pas sur votre liste approuvée.
Utilisez des outils de découverte SaaS ou CASB : les courtiers de sécurité d’accès au nuage et les outils de gestion SaaS peuvent dresser la carte des applications utilisées.
Vérifiez les extensions de navigateur et les appareils : les outils de gestion des terminaux montrent ce qui est installé sur les appareils de l’entreprise.
Demandez à votre équipe : un simple sondage, sans jugement, révèle souvent plus de choses que n’importe quel outil.

Comment gérer le shadow IT

Essayer d’interdire tous les outils non approuvés fonctionne rarement. Les gens trouvent des moyens de contourner les règles. Une meilleure approche consiste à faire sortir le shadow IT de l’ombre :

Découvrez ce qui est utilisé : dressez un inventaire des applications et des services à l’aide des méthodes de détection ci-dessus.
Comprenez pourquoi : demandez aux équipes quel problème chaque outil règle. Souvent, cela révèle une lacune dans vos outils approuvés.
Approuvez, remplacez ou retirez : placez les outils utiles sous la gestion des TI, offrez une solution de rechange sécurisée ou retirez les outils risqués.
Rédigez une politique claire et simple : expliquez ce qui est permis, ce qui ne l’est pas et comment demander un nouvel outil. Ajoutez une section sur l’utilisation de l’IA.
Accélérez l’approbation : un processus de demande rapide élimine la principale raison pour laquelle les gens contournent les TI.
Sécurisez les bases : utilisez l’authentification unique, l’authentification multifacteur et la gestion des appareils pour que les outils approuvés soient à la fois faciles et sûrs.
Reliez vos systèmes : lorsque les outils approuvés fonctionnent ensemble, les gens ont moins de raisons de créer leurs propres solutions de contournement. Notre guide sur l’intégration d’API explique comment faire.
Formez et répétez : de courts rappels réguliers fonctionnent mieux qu’un courriel unique annonçant la politique.

Pour bien des petites et moyennes entreprises, un partenaire de services de TI gérés prend en charge une grande partie de ce travail, de la surveillance et de la gestion des appareils jusqu’aux politiques et au soutien aux utilisateurs. Notre article Les services de TI gérés expliqués montre comment cela fonctionne.

Le shadow IT peut-il être une bonne chose?

Le shadow IT peut être un signal utile. Lorsque les employés cherchent leurs propres outils, c’est souvent qu’ils ont besoin de quelque chose que l’entreprise ne leur a pas fourni. Bien géré, le shadow IT peut vous orienter vers de meilleurs logiciels, des processus plus rapides et une utilisation plus judicieuse du nuage. Le but n’est pas d’empêcher les gens de trouver de meilleures façons de travailler. Il s’agit de s’assurer que ces outils sont visibles, sécurisés et soutenus.

Foire aux questions

Qu’est-ce que le shadow IT, en termes simples?

Le shadow IT désigne toute technologie que les employés utilisent pour le travail sans l’approbation de l’équipe des TI, comme des comptes personnels de partage de fichiers, des applications de messagerie ou des outils d’IA gratuits.

Quel est un exemple de shadow IT?

Un exemple courant est une équipe qui partage des fichiers de travail au moyen d’un compte Dropbox ou Google Drive personnel plutôt que du stockage approuvé par l’entreprise. Un autre est l’utilisation d’un robot conversationnel d’IA gratuit pour résumer les courriels de clients.

Pourquoi le shadow IT est-il un risque pour la sécurité?

Parce que les TI ne peuvent pas protéger des systèmes dont elles ignorent l’existence. Les applications non approuvées peuvent manquer de mesures de sécurité solides, stocker les données à des endroits inconnus et ouvrir la porte à des fuites de données ou à des cyberattaques.

Quelle est la différence entre le shadow IT et le shadow AI?

Le shadow IT englobe toute technologie non approuvée. Le shadow AI en est un type précis qui concerne les outils d’IA, où le principal risque est la transmission de données sensibles à des services d’IA externes.

Comment mettre fin au shadow IT?

Plutôt que d’essayer de tout bloquer, découvrez quels outils sont utilisés, comprenez pourquoi, approuvez-les ou remplacez-les par des options sécurisées, et faites en sorte qu’il soit simple et rapide pour les employés de demander de nouveaux outils.

Faites sortir le shadow IT de l’ombre

Le shadow IT n’est pas le signe que votre équipe est négligente. C’est le signe qu’elle veut faire avancer le travail. La réponse, c’est la visibilité : savoir ce qui est utilisé, donner aux gens des outils sécurisés qui répondent vraiment à leurs besoins et établir des règles claires et simples, y compris pour l’IA.

Chez BitWaves, nous aidons les entreprises du Canada et des États-Unis à découvrir, sécuriser et gérer les outils sur lesquels reposent leurs équipes. Découvrez nos services de TI gérés, ou communiquez avec nous pour discuter de la façon de reprendre le contrôle du shadow IT.