Lexique · Sécurité des données
Shadow IT
Ensemble des appareils, logiciels et services (messagerie, stockage en ligne, outils collaboratifs) utilisés pour le travail sans avoir été recensés ni validés par le service informatique. Ils échappent à la gestion des actifs, aux sauvegardes et à la supervision de l'organisation.
Ce que ça change pour une organisation
Le NCSC britannique décrit le shadow IT comme des actifs inconnus de l’organisation, qui servent pourtant à des fins professionnelles sans figurer dans la gestion des actifs ni respecter les politiques informatiques. Cela couvre aussi bien des appareils que des services en ligne, y compris des outils d’intelligence artificielle utilisés sans autorisation. Il résulte rarement d’une intention malveillante : les collaborateurs cherchent surtout à travailler quand les outils officiels manquent d’espace de stockage, ne permettent pas de partager des données avec un tiers, ou lorsque les demandes internes sont traitées trop lentement.
Le risque est double selon le NCSC : un vol de données, puisque l’organisation ne sait plus où ses données sont stockées, traitées et sauvegardées, et l’exploitation des services ou appareils non maîtrisés (logiciels malveillants, mouvements latéraux). L’ANSSI déconseille de son côté le recours à des solutions ou outils non maîtrisés, par exemple hébergés dans le nuage, lorsque des informations sensibles sont traitées.
Le NCSC recommande de traiter rapidement les demandes des utilisateurs et d’adopter une approche sans blâme, afin que les usages soient signalés plutôt que cachés. Il y associe des contrôles techniques : gestion des actifs, contrôle d’accès au réseau, scanners réseau et outils de détection des services cloud (CASB).
Exemple
Exemple générique : un commercial doit transmettre à un client un fichier trop volumineux pour la messagerie de l’entreprise et utilise pour cela son espace de stockage personnel en ligne. Le fichier, qui contient des données de facturation, se retrouve hébergé chez un prestataire que la DSI ne connaît pas. Sans aucune malveillance, l’organisation ne peut plus dire où se trouvent ces données ni qui peut les consulter.
À ne pas confondre avec
- Un logiciel malveillant installé par un attaquant : il est introduit contre la volonté de l’organisation, alors que le shadow IT est utilisé par des collaborateurs pour travailler.
- L’infogérance : elle est encadrée par un contrat et un plan d’assurance sécurité selon l’ANSSI, alors que le shadow IT contourne toute validation.
