Le "shadow IT" est une pratique qui consiste à utiliser des applications ou des services informatiques qui ne sont pas gérés ou approuvés par les services informatiques de l'entreprise. Les employés peuvent utiliser ces outils pour faciliter leur travail, mais cela peut causer des problèmes de sécurité et de conformité pour l'entreprise.
Les risques pour les services informatiques sont nombreux, car ils ont souvent peu de contrôle sur les outils utilisés par les employés. Cela peut entraîner des problèmes de compatibilité et de fiabilité avec les systèmes existants, ainsi que des difficultés pour gérer les mises à jour et les sauvegardes. Les services informatiques peuvent également avoir du mal à suivre les activités des employés et à comprendre comment les outils utilisés par eux impactent les performances de l'entreprise.
Les risques pour la sécurité informatique sont tout aussi importants. Les outils utilisés dans le cadre du "shadow IT" peuvent ne pas respecter les normes de sécurité de l'entreprise, ce qui peut entraîner des fuites de données et des attaques de hackers. Les employés peuvent également être exposés à des logiciels malveillants ou à des escroqueries en utilisant des outils qui ne sont pas sécurisés.
Voici quelques exemples courants de Shadow IT :
Services de stockage en ligne non approuvés : Les employés peuvent utiliser des services de stockage en ligne tels que Dropbox, Google Drive ou OneDrive pour stocker et partager des fichiers sensibles, sans passer par les canaux officiels de l'entreprise. Cela peut poser des problèmes de sécurité, car ces services peuvent ne pas être soumis aux mêmes contrôles et normes de sécurité que ceux mis en place par l'entreprise.
Applications de messagerie instantanée personnelles : Lorsque les employés utilisent des applications de messagerie instantanée personnelles, telles que WhatsApp, Facebook Messenger ou Slack (version gratuite), pour communiquer avec leurs collègues sur des questions professionnelles, cela crée une zone d'ombre dans laquelle les communications peuvent ne pas être sécurisées ou conformes aux politiques de l'entreprise.
Outils de collaboration en ligne non autorisés : Les employés peuvent utiliser des outils de collaboration en ligne, comme Trello, Asana ou Basecamp, pour gérer des projets et des tâches sans l'approbation de l'entreprise. Cela peut entraîner des problèmes de sécurité si ces outils ne sont pas évalués et contrôlés par le département informatique de l'entreprise.
Services de sauvegarde cloud non officiels : Les employés peuvent utiliser des services de sauvegarde cloud personnels pour stocker des données sensibles de l'entreprise, ignorant ainsi les politiques de sauvegarde et de récupération des données de l'entreprise. Cela peut rendre les données vulnérables aux fuites ou aux pertes en cas de problème technique ou de violation de sécurité.
Applications mobiles non autorisées : Les employés peuvent télécharger et utiliser des applications mobiles non autorisées pour accéder aux systèmes de l'entreprise ou aux ressources internes. Cela peut créer des failles de sécurité si ces applications sont malveillantes ou si elles ne respectent pas les protocoles de sécurité requis par l'entreprise.
A noter que le Shadow IT n'est pas nécessairement mal intentionné, mais il peut représenter un risque pour la sécurité de l'entreprise en raison du manque de contrôle et de visibilité. Les organisations doivent mettre en place des politiques claires, sensibiliser leurs employés aux risques du Shadow IT et fournir des alternatives sécurisées pour répondre aux besoins des employés en matière de technologie.
Il est important pour les entreprises de prendre des mesures pour réduire les risques liés au "shadow IT". Cela peut inclure la mise en place de politiques et de procédures pour encadrer l'utilisation des outils en dehors des services informatiques, ainsi que la mise en place de programmes de sensibilisation et de formation pour les employés. Les entreprises peuvent également investir dans des solutions de gestion de l'application pour surveiller et contrôler les outils utilisés par les employés.
Adresse du blog : https://blogs.mediapart.fr/sp-0/blog
Passionné d'informatique, de nouvelle technologie, et de société de l'information, j'édite ce blog qui traite de sujet de sécurité informatique. Le but de ce blog est de s’adresser auprès d’un public varié : direction, utilisateur, informaticien. C’est pour cela qu’il est hébergé sur un site généraliste. La sécurité, c’est une en premier lieu une organisation, et non un rôle purement technique. J'ai commencé ma carrière dans la presse informatique dans les années 90, puis un long passage très intéressant comme informaticien en salle des marchés et banque d'investissement, puis une administration internationale.