La plupart des employés qui installent une application non approuvée ou souscrivent à un nouvel outil SaaS essaient simplement de faire leur travail plus vite. Les problèmes commencent ensuite : l’IT ne peut pas corriger les logiciels dont elle ignore l’existence, ne peut pas protéger les données stockées dans des services qu’elle n’a jamais approuvés, et ne peut pas éviter de payer deux fois pour des outils qui se chevauchent.
Cet écart se creuse. Gartner prévoit que d’ici 2027, 75 % des employés acquerront, modifieront ou créeront des technologies sans visibilité pour l’IT, contre 41 % en 2022.
Ce guide explique ce qu’est le shadow IT, où il apparaît, pourquoi les employés y ont recours, ce qu’il coûte et comment les équipes IT peuvent le détecter et le réduire.
Qu’est-ce que le shadow IT ?
Le Shadow IT désigne tout matériel, logiciel, service cloud ou outil d’IA que les employés utilisent pour leur travail sans que le service IT le sache ou l’ait approuvé. Cela inclut les applications non approuvées installées sur les ordinateurs de l’entreprise, les appareils personnels utilisés pour accéder aux données de l’entreprise et les abonnements SaaS achetés en dehors du processus d’approvisionnement de l’IT.
Le Shadow IT est rarement malveillant. Il s’agit généralement d’une solution de contournement : un employé a besoin d’une fonctionnalité, l’outil approuvé ne la propose pas, ou le processus d’approbation paraît lent, alors il trouve sa propre solution. Le risque vient du fait que l’IT ne peut pas gérer, sécuriser ni recenser une technologie dont elle ignore l’existence.
Exemples courants de shadow IT
Le Shadow IT peut apparaître presque partout où les employés utilisent la technologie. Voici quelques exemples courants :
Applications SaaS non approuvées : outils de gestion de projet, de partage de fichiers ou de conception auxquels une équipe s’abonne avec une carte d’entreprise ou un compte personnel.
Applications de messagerie et de collaboration : Outils de chat ou de visioconférence tiers utilisés aux côtés de la plateforme approuvée par l’entreprise, ou à sa place.
Stockage cloud personnel : Fichiers de travail enregistrés sur des comptes personnels afin d’y accéder plus facilement depuis chez soi ou de les partager avec des contacts externes.
Logiciels installés sur les ordinateurs de l’entreprise : utilitaires, navigateurs, outils d’accès à distance ou téléchargements gratuits que les employés installent sans l’intervention de l’IT.
Extensions de navigateur : Modules complémentaires capables de lire le contenu des pages ou de se connecter à des services externes, souvent installés sans aucune vérification.
Outils d’IA générative (shadow AI) : Chatbots et assistants d’IA publics utilisés pour rédiger du contenu, résumer des documents ou analyser des données, parfois avec des informations de l’entreprise qui y sont collées.
Appareils personnels : ordinateurs portables, tablettes et téléphones utilisés pour le travail sans approbation ou en dehors d’un programme formel de BYOD.
Pourquoi les employés se tournent vers le shadow IT
Plusieurs facteurs favorisent le shadow IT. Certains employés adoptent leurs propres outils pour résoudre un problème sans attendre l’IT, surtout lorsque l’option approuvée rencontre des problèmes récurrents ou ne dispose pas d’une fonctionnalité dont ils ont besoin. D’autres adoptent une approche du type « mieux vaut demander pardon que permission » parce que le processus d’approbation officiel leur semble lent.
Le travail hybride et à distance aggrave le problème. Les employés peuvent préférer utiliser leurs ordinateurs personnels et leurs tablettes pour travailler, même lorsque l’entreprise n’a aucune politique l’autorisant. Certaines personnes ne savent tout simplement pas qu’une politique IT existe, ou ne se rendent pas compte que ce qu’elles font sort de son cadre.
Ces causes indiquent une partie de la solution. Lorsque les outils approuvés répondent aux besoins des employés et que les demandes de logiciels obtiennent des réponses rapides, il y a moins de raisons de contourner l’IT.
Les risques et les coûts cachés du shadow IT
Le coût du shadow IT va au-delà des frais d’abonnement. La majeure partie apparaît de façon indirecte, sous forme d’exposition aux risques de sécurité, de dépenses inutiles et de travail supplémentaire pour l’IT.
1. Failles de sécurité liées à des logiciels non corrigés
Les logiciels dont l’IT n’a pas connaissance ne sont pas mis à jour. Les applications non approuvées peuvent rester sur les endpoints pendant des mois avec des versions obsolètes présentant des vulnérabilités connues, et l’IT ne peut pas prioriser les correctifs pour des logiciels qui ne sont pas sur son radar.
2. Exposition des données et problèmes de conformité
Lorsque les données de l’entreprise migrent vers des applications non approuvées, des comptes cloud personnels ou des outils d’IA publics, l’IT perd le contrôle de leur lieu de stockage, des personnes qui peuvent y accéder et de leur durée de conservation. Cela peut compliquer les audits et rendre plus difficile la démonstration que les données sensibles sont traitées conformément à la politique.
3. Dépenses en double et inutiles
Lorsque les équipes achètent leurs propres outils, les organisations finissent souvent par payer plusieurs applications qui font le même travail. Les abonnements peuvent continuer à se renouveler après le départ de la personne qui les a achetés, et des licences approuvées peuvent rester inutilisées pendant que les employés s’appuient sur des outils qu’ils ont trouvés eux-mêmes.
4. Travail supplémentaire pour les équipes IT
Le shadow IT génère des demandes de support pour des outils que l’IT n’a jamais validés, des problèmes d’intégration avec les systèmes approuvés et un travail de remise en état lorsqu’une application non approuvée provoque un problème. Les outils inconnus ralentissent également la réponse aux incidents, car l’IT doit d’abord découvrir ce qui est en cause avant de pouvoir agir.
Comment détecter le shadow IT
Le shadow IT couvre les appareils, les logiciels installés et les services cloud. Aucun signal unique ne permet donc de tout détecter. La plupart des équipes IT combinent plusieurs sources :
Inventaire des logiciels des terminaux : Une liste à jour des applications installées sur chaque ordinateur géré permet d’identifier les logiciels non approuvés peu après leur apparition.
Alertes d’installation de logiciels : les alertes sur les nouvelles installations permettent à l’IT d’examiner les changements au moment où ils se produisent, sans attendre un audit planifié.
Dossiers de dépenses et d’approvisionnement : les frais récurrents de logiciels qui ne sont jamais passés par l’IT révèlent souvent des abonnements SaaS non approuvés.
Journaux d’identité et de connexion : Les connexions à des applications non approuvées avec des comptes d’entreprise peuvent révéler des services cloud qui ne se trouvent pas sur un terminal.
Conversations avec les équipes : demander aux différents services quels outils ils utilisent réellement peut révéler plus vite qu’une analyse les lacunes de l’ensemble des outils approuvés.
L’inventaire des terminaux est la base du volet logiciel du problème, et c’est un élément central de la gestion de l’inventaire des actifs IT.
Comment réduire le shadow IT et ses coûts
Ces étapes permettent de limiter le shadow IT, de le rendre visible et peu coûteux, et elles s’inscrivent dans un ensemble plus large de bonnes pratiques de sécurité IT.
1. Maintenez l’inventaire à jour grâce à une surveillance continue
Plus un logiciel non approuvé reste sur un terminal, plus longtemps il peut rester sans correctif et plus longtemps l’organisation peut continuer à le payer. Les audits annuels basés sur des feuilles de calcul statiques laissent passer des mois pendant lesquels de nouveaux logiciels passent inaperçus.
Utilisez un outil de gestion des terminaux qui maintient à jour l’inventaire du matériel et des logiciels pour chaque ordinateur géré et alerte l’IT lorsqu’un logiciel est installé ou supprimé. Cela intègre la détection du shadow IT aux opérations courantes.
2. Comparez les installations à ce que vous payez
L’inventaire logiciel répond à une question de coût fondamentale : combien de copies de chaque application sont installées, et où ? Comparer ce nombre aux licences achetées peut révéler des licences que personne n’utilise, ainsi que des outils installés sur plus de machines que l’organisation n’en a payé.
Recherchez aussi les chevauchements. Si l’inventaire montre que plusieurs applications remplissent la même fonction dans différents services, elles peuvent être regroupées.
3. Standardisez les outils approuvés et facilitez les demandes
Les outils redondants ajoutent des coûts et de la complexité. Mettez-vous d’accord sur un ensemble standard d’applications approuvées pour les besoins courants tels que la messagerie, le partage de fichiers et la gestion de projet, puis publiez la liste afin que les employés sachent ce qui est disponible. Travailler avec moins de fournisseurs peut aussi simplifier les renouvellements et permettre d’obtenir de meilleurs tarifs.
Associez cette liste à un processus de demande simple et rapide. Les employés sont moins susceptibles de contourner l’IT lorsqu’ils peuvent obtenir une réponse rapide.
4. Relier l’inventaire à la gestion des correctifs
Les applications non approuvées sont souvent celles qui prennent du retard dans les mises à jour. Lorsque l’inventaire, les données de vulnérabilité et l’état des correctifs sont regroupés au même endroit, l’IT peut voir quels endpoints exécutent des logiciels obsolètes ou vulnérables et décider de les mettre à jour ou de les supprimer.
5. Supprimez rapidement les logiciels non approuvés
Lorsqu’un logiciel non approuvé apparaît, une réponse rapide limite à la fois les risques et les coûts. L’exécution d’un script de désinstallation ou d’une commande à distance sur l’endpoint concerné permet à l’IT de le supprimer sans déplacement au bureau ni session à distance complète.
Assurez également un suivi avec l’employé. Comprendre pourquoi il a installé l’outil peut révéler un besoin auquel l’ensemble d’outils approuvés ne répond pas.
Comment Splashtop AEM aide les équipes IT à contrôler le shadow IT
Splashtop AEM (Autonomous Endpoint Management) est une plateforme de gestion des terminaux qui offre aux équipes IT une visibilité en temps réel et une automatisation basée sur des politiques sur l’ensemble des terminaux gérés, depuis une console unique.
L’inventaire du matériel et des logiciels affiche les détails du système, du matériel et des logiciels pour chaque ordinateur géré, avec des instantanés que l’IT peut comparer dans le temps et des exportations pour les audits. La vue Software Inventory peut être filtrée par fournisseur ou par plateforme, ce qui facilite l’identification des applications non approuvées et le comptage des installations dans l’ensemble de l’environnement. Des alertes configurables informent l’IT lorsqu’un logiciel est installé ou désinstallé, ou lorsqu’un matériel est ajouté ou retiré.
Lorsque l’IT identifie un élément à traiter, Scripts and Tasks peut exécuter des commandes, des scripts et des installations sur plusieurs endpoints à la fois, et Smart Actions peut exécuter automatiquement une tâche prédéfinie lorsqu’une alerte est déclenchée. Les correctifs basés sur des politiques pour les systèmes d’exploitation et plus de 100 applications tierces, les analyses CVE alimentées par l’IA et les tableaux de bord contribuent à maintenir les logiciels approuvés à jour et à montrer où subsistent les risques.
Obtenez une visibilité sur les logiciels présents sur chaque terminal géré
Le Shadow IT se développe dans l’écart entre ce dont les employés ont besoin et ce que l’IT peut voir. Combler cet écart commence par une vue précise et à jour des logiciels exécutés sur l’ensemble de vos terminaux, suivie d’un ensemble clair d’outils approuvés et d’un moyen rapide d’agir lorsqu’un outil non approuvé apparaît.
Splashtop AEM offre aux équipes IT cette visibilité, ainsi que l’automatisation nécessaire pour maintenir les terminaux à jour et cohérents. Démarrer un essai gratuit pour voir ce qui s’exécute sur vos terminaux gérés, sans carte bancaire.
