Le shadow IT est une méthode à hauts risques : fuite ou perte de données, cyberattaques, ou encore dommages matériels ou financiers. Pourtant, 80 % des employés le pratiquent selon un sondage de Frost & Sullivan. Le nombre d’applications Cloud utilisées passe d’une moyenne de 40 à 1 700 selon Symantec.
D’une part, une entreprise investit environ 40 % de son budget informatique dans le Cloud. D’autre part, plus de 68 % des logiciels sur ce service sont malveillants. Face à un tel fléau, les entreprises décident de lutter contre le shadow IT.
Vous savez déjà ce qu'est le shadow IT et pourquoi il prospère (sinon, commencez par notre article définition, risques et exemples du shadow IT). Ici, place à la méthode.
Identifier les besoins de vos collaborateurs
Pourquoi le shadow IT se développe dans vos équipes ?
Les éditeurs rivalisent d’ingéniosité pour proposer des solutions numériques. Celles-ci abondent sur le marché et leur facilité d’accès encourage les utilisateurs à les adopter.
D’un autre côté, les démarches auprès de la DSI se révèlent parfois complexes pour les salariés. En effet, l'application de certains protocoles ou procédures se révèle parfois si lourde qu'elle décourage les salariés de contacter le service. Ils s'engagent alors sur le chemin du shadow IT en choisissant eux-mêmes leurs logiciels de travail : un compte Dropbox personnel pour transférer des fichiers en l'absence de solution sécurisée pour collaborer par exemple.
Bien qu'efficaces et simples d'utilisation, ces solutions ne concilient pas forcément productivité et sécurité. Le risque est d’autant plus élevé avec les identifiants et mots de passe personnels non fournis, ni gérés par la DSI. Et les dangers ne se limitent pas au Cloud, ni au partage de fichiers en ligne. La même vigilance s’impose sur les transferts de données sur du matériel personnel comme une clé USB ou un ordinateur, des usages que le télétravail et la mobilité professionnelle ont généralisés.
La lutte contre le shadow IT s'effectue en deux temps : comprendre la motivation des collaborateurs, puis évaluer les outils réellement mis à leur disposition. La grande disponibilité des outils collaboratifs, des logiciels de stockage, de transfert de fichiers et des messageries explique l'ampleur du phénomène, mais chaque usage fantôme dévoile d'abord un besoin.
La première phase s’intéresse à la motivation des collaborateurs dans l’utilisation de ces logiciels.
-
Pourquoi apportent-ils leurs propres solutions dans leur métier ?
-
Sont-ils conscients des risques auxquels ils s’exposent et, par voie de conséquence, des dangers que cela représente pour leur lieu de travail ?
-
Doivent-ils répondre à une productivité supérieure à celle que permettent leurs outils actuels ?
Les réponses à cette série de questions servent déjà de base pour encadrer le shadow IT avant de le neutraliser.
La deuxième phase évalue la situation en profondeur, côté outillage officiel cette fois.
-
Sont-ils en accord avec les besoins des salariés ?
-
Permettent-ils d’atteindre les objectifs fixés ?
-
Correspondent-ils aux normes et exigences actuelles du métier ?
-
Pourquoi les collaborateurs les remplacent-ils par d’autres logiciels ?
Dans certains cas, les entreprises ne mettent aucun outil à la disposition des salariés. Ces derniers se tournent naturellement vers le shadow IT.
Identifier les outils à disposition pour chaque besoin métier
Les salariés utilisent des outils, parce qu’ils en ont besoin pour leur productivité. La menace apparaît lorsqu'ils préfèrent des logiciels autres que ceux installés par la DSI. Pour y remédier, celle-ci doit s’intéresser de plus près aux besoins de chaque métier ou de chaque tâche. C'est-à-dire, remonter aux origines du problème, les outils de shadow IT eux-mêmes :
-
Quels sont-ils et quelles en sont les principales fonctionnalités ?
-
Répondent-ils à des besoins spécifiques et à quelle fréquence sont-ils sollicités ?
Les plus courants des logiciels en shadow IT sont ceux qui servent à transférer des fichiers à distance. Les plateformes collaboratives figurent également parmi les plus téléchargées. Il en va de même pour les systèmes de messagerie instantanée. Une profonde connaissance du quotidien des salariés aide poser le contexte.
-
Ont-ils besoin d’échanger régulièrement dans un travail collaboratif ?
-
Doivent-ils transférer mutuellement d’importants volumes de fichiers quotidiennement ?
-
Traitent-ils des données et des fichiers sensibles ?
Une évaluation des besoins et des risques s’avère incontournable avant de choisir une stratégie appropriée.
Encourager la collaboration entre la DSI et les salariés
Le département informatique se met à la disposition des salariés pour recevoir leurs demandes, concrétisées par des formulaires simples à remplir : usage prévu, fonctionnalités requises, données concernées. Le service informatique étudie la requête et identifie les possibilités, par exemple trouver une alternative à WeTransfer pour le partage de documents en ligne.
Si l’application demandée comporte des risques, le salarié doit en être informé et sensibilisé. En ce sens, la DSI se charge également d’éduquer le personnel sur l’utilisation d’outils disponibles sur le marché. Et quand une demande est refusée, expliquez clairement pourquoi et proposez une alternative fiable comme un tiers de confiance, entre autres.
L’importance de l’accompagnement
Lutter contre le shadow IT ne consiste pas à l’interdire d’une traite. La pratique s’est installée progressivement, et les habitués ont besoin de temps pour s’adapter à d’autres options. Des mesures d’accompagnement et des compromis permettent de bien démarrer ce processus d’éradication.
Vous pouvez par exemple négocier avec les salariés en établissant une liste d'outils approuvés par la DSI : les collaborateurs choisissent les applications qui répondent à leurs attentes parmi les options validées. Le service informatique peut également mettre en place une procédure de demande d'application simple d'utilisation, où les salariés définissent leurs besoins et où la DSI identifie ou conçoit la solution adaptée.
Quelles sont les alternatives aux pratiques de shadow IT ?
Les collaborateurs persistent à travailler sur des outils non conformes parce qu'ils ne connaissent pas d'autres options : le rôle de la DSI est d'exposer des alternatives qui correspondent aux attentes en matière de sécurité, d'efficacité et surtout de facilité d'utilisation. Le baromètre du CESIN (Club des Experts de la Sécurité de l’Information et du Numérique) le confirme édition après édition : le shadow IT reste ancré dans les habitudes, avec à la clé des risques pour la sécurité informatique, l’incompatibilité des outils ou encore l’absence de conformité aux législations. La souveraineté des données ou le respect du RGPD sont compromis dans la plupart des cas.
Quels outils alternatifs pour les usages fantômes les plus courants ?
Les collaborateurs persistent à travailler sur des logiciels non conformes parce qu’ils ne connaissent pas d’autres options. Il appartient au département informatique de l’entreprise de les informer et de les former sur ce point. En partant du contexte et de l’analyse des besoins, la DSI expose et explique clairement les solutions choisies. Celles-ci doivent correspondre parfaitement aux attentes, notamment en termes de sécurité, d’efficacité et surtout de facilité d’utilisation. Il en va de l’adoption des alternatives par le personnel. Les salariés se tournent effectivement vers les outils faciles à prendre en main.
La suite LockSelf constitue une défense efficace contre le shadow IT : des outils de cybersécurité certifiés par l'ANSSI, se basant sur du chiffrement de bout en bout pour un maximum de protection des données. Les solutions françaises sont entièrement indépendantes tout en étant complémentaires : les utilisateurs choisissent les outils dont ils ont besoin, ou adoptent la suite pour un équipement complet.
-
LockSelf développe LockPass, un gestionnaire de mots de passe centralisé : les collaborateurs stockent et partagent leurs codes d'accès en toute sécurité grâce à un plugin pour navigateur, avec une interface intuitive et facile à prendre en main.
-
LockTransfer se présente comme une alternative à WeTransfer, un outil de transfert de fichiers où les utilisateurs partagent facilement leurs fichiers avec des partenaires externes, sans compromettre la confidentialité des documents sensibles ni la sécurité de l'entreprise.
-
LockFiles s'adresse aux collaborateurs souhaitant stocker des fichiers en interne, dans un espace conforme aux standards de sécurité et de confidentialité européens, avec un chiffrement certifié CSPN par l'ANSSI et des politiques d'accès basées sur le principe du moindre privilège.
L'ensemble regroupé forme le coffre-fort numérique LockSelf : mots de passe et fichiers à l'abri des attaquants, des fuites et des pertes.
Des outils de cybersécurité fiables et performants
La certification ANSSI et la souveraineté des données sont les garantes de l’efficacité des solutions LockSelf. Les produits bénéficient d’une CSPN ou certification de sécurité de premier niveau. Les utilisateurs ne craignent aucune vulnérabilité applicative en se tournant vers ces applications.
La polyvalence se justifie par sa capacité à s’adapter aux organisations de toutes tailles. En effet, cette offre convient aux entreprises de 2 à plusieurs milliers de salariés. Elle s’ajuste ainsi en fonction des besoins spécifiques à chaque organisation. La traçabilité comptant parmi les exigences des organisations, les experts LockSelf ont déployé les moyens pour s’en assurer. Les mêmes efforts sont fournis pour maintenir l’intégrité des données.
.png?width=301&height=203&name=ANSSI-logo-certification-1-1%20(1).png){kind=logo}
La sécurisation des fichiers sensibles engage d’importantes responsabilités. Les solutions sont développées à mesure que les attaques progressent. Les équipes anticipent autant que possible les cybercriminels en imaginant de multiples scénarios d’attaques. Elles sont en recherche permanente d’axes d’amélioration pour répondre aux exigences des DSI. Cette réflexion poussée sur la sécurité informatique et les moyens pour la maintenir distingue les offres LockSelf. Les clients de ce tiers de confiance gagnent du temps en maîtrisant leur budget informatique.
Un fonctionnement mûrement réfléchi
Le principal atout de la suite LockSelf réside dans son fonctionnement pointu. Chaque utilisateur dispose d’une paire de clés privées RSA. La mise en place d’un chiffrement asymétrique renforce davantage cette sécurité. Seuls les utilisateurs ayant reçu le code PIN ont accès aux fichiers et peuvent déchiffrer les données stockées. De plus, les experts ne se sont pas contentés du protocole HTTPS. Ils doublent le chiffrement de bout en bout via HSTS. Les équipes ont opté pour la technologie la plus avancée du marché. L’Advanced Encryption Standard CBC apparaît actuellement comme le plus sûr des dispositifs de protection des données. D’ailleurs, sa puissance en fait un outil classé « military level ».
Comment mettre en place un nouvel outil cyber dans une entreprise ? Étape par étape
Les salariés habitués au shadow IT ont besoin de temps pour adopter un nouvel outil. La DSI les accompagne dans cette démarche avec une mise en place en trois étapes :
- la phase d’information : les collaborateurs sont informés du choix du nouvel outil, en insistant sur l'importance de la sécurité des données, les risques encourus avec le shadow IT, la praticité de la solution et son intégration à l'environnement de travail existant ;
- la phase d'apprentissage : les équipes métier apprennent et intègrent le nouveau dispositif dans leurs habitudes.
- La phase de blocage : le département informatique ferme les canaux de shadow IT remplacés. Lorsque les nouveaux outils sont bien compris, les salariés abandonnent d'eux-mêmes les anciens, et le blocage n'est plus qu'une formalité de sécurisation.
La décision d’installer des outils numériques fiables implique aussi de considérer tous les aspects du métier. Le service informatique et les RH communiquent continuellement pour établir les besoins et identifier les solutions possibles. Les outils de cybersécurité choisis doivent correspondre à des exigences précises, dont la modernité, l’évolutivité et la facilité d’utilisation. Mieux encore, ils doivent être reliés pour un flux de travail plus confortable et bien maîtrisé.
💡 Conseil pratique : mesurez l'adoption plutôt que la conformité. Si l'usage de l'alternative officielle monte et que les flux vers les outils fantômes baissent, la substitution opère. Si l'adoption stagne, le problème est potentiellement dans l'outil ou l'accompagnement.
