Shadow IT

general

Définition

Le Shadow IT (informatique fantôme ou informatique de l'ombre) désigne l'utilisation par les employés d'applications, de services cloud, d'équipements, ou de technologies informatiques non approuvés, non inventoriés, et non gérés par la DSI (Direction des Systèmes d'Information) ou l'équipe de sécurité. Ces outils sont adoptés par les utilisateurs pour répondre à des besoins métiers réels non satisfaits par l'IT officiel, contournant ainsi les politiques et contrôles de sécurité établis. Le Shadow IT est une réalité organisationnelle inévitable dans les entreprises modernes. Les services SaaS (Software as a Service) facilement accessibles (Dropbox, Google Drive, Slack, Trello, Notion, ChatGPT) permettent à n'importe quel employé de contourner les processus IT officiels en quelques clics. Des études (Gartner, McAfee) estiment que 30 à 40% des dépenses IT dans les grandes entreprises correspondent à du Shadow IT non inventorié par la DSI. Les risques du Shadow IT sont multiples. Sécurité des données : les fichiers professionnels uploadés sur Dropbox personnel ou Google Drive non-corporate échappent aux contrôles DLP, aux politiques de rétention, et aux accès de l'entreprise. Conformité : les données de clients, de patients, ou données financières dans des applications non approuvées peuvent violer le RGPD, HIPAA, ou PCI-DSS. Sécurité des comptes : les mots de passe des services Shadow IT sont souvent réutilisés, faibles, et sans MFA — leur compromission peut servir de vecteur d'attaque. Exposition aux vulnérabilités : des applications Shadow IT non mises à jour par la DSI peuvent rester vulnérables. Fuite de données lors des départs : un employé utilisant Notion ou Trello personnels pour ses documents de travail emporte toutes ces données à son départ. Les approches de gestion du Shadow IT combinent découverte (CASB — Cloud Access Security Broker pour identifier les services cloud utilisés dans le trafic réseau), politique (permettre les services à risque faible tout en bloquant ceux à risque élevé), et alternatives officielles (proposer des alternatives approuvées qui répondent aux mêmes besoins).

CASB — découverte et contrôle du Shadow IT cloud

Un CASB (Cloud Access Security Broker) est la solution de référence pour la gouvernance du Shadow IT cloud. Un CASB analyse le trafic réseau (via proxy, logs firewall, ou agent) pour identifier tous les services cloud utilisés — même ceux que la DSI ignore. Il catégorise chaque service par risque (basé sur la politique de sécurité du provider, les certifications, la géolocalisation des données) et permet des politiques granulaires : autoriser Office 365 corporate mais bloquer les comptes Office 365 personnels, autoriser Dropbox Business mais bloquer Dropbox Free, permettre le téléchargement depuis Box mais bloquer l'upload de fichiers sensibles. Microsoft Defender for Cloud Apps (MCAS), Netskope, Zscaler CASB, et Skyhigh Security sont les principales plateformes CASB. L'intégration du CASB avec le DLP (Data Loss Prevention) permet de contrôler non seulement quels services sont utilisés mais aussi quelles données y transitent — bloquer automatiquement l'upload de fichiers contenant des données sensibles vers des services non approuvés.

Shadow AI — le nouveau Shadow IT

Shadow AI (l'utilisation non-sanctionnée d'outils d'IA générative) est le Shadow IT de 2024-2025. Les employés utilisent ChatGPT, Claude, Gemini, Copilot, ou des outils IA spécialisés pour augmenter leur productivité — souvent en collant des données professionnelles sensibles dans les prompts. Les risques : les données soumises aux modèles IA publics peuvent être utilisées pour l'entraînement ou accessibles aux équipes du provider, les codes sources propriétaires soumis à ChatGPT peuvent violer les politiques de propriété intellectuelle et de confidentialité, et les résultats générés par l'IA peuvent contenir des hallucinations présentées comme des faits. La gestion du Shadow AI nécessite : une politique IA claire (quels outils sont autorisés, pour quels usages, avec quelles restrictions de données), des outils IA d'entreprise autorisés (Microsoft Copilot M365 avec les garanties enterprise, AWS Bedrock, Claude for Enterprise avec no-training guarantee), et des contrôles CASB pour détecter l'utilisation des services IA non autorisés dans le trafic réseau.

Sanction réglementaire — Shadow IT et RGPD

Le Shadow IT peut directement créer des violations du RGPD engageant la responsabilité de l'organisation. Si un employé utilise un service non approuvé pour stocker des données personnelles de clients, l'organisation est responsable de ce traitement même si elle n'en avait pas connaissance — la maxime "l'ignorance ne protège pas" s'applique. Les violations liées au Shadow IT peuvent inclure : transferts de données hors UE vers des serveurs de services cloud hébergés aux États-Unis sans garanties appropriées (Standard Contractual Clauses non signées), données personnelles dans des applications sans mesures de sécurité RGPD-conformes, et absence d'inventaire du traitement (le registre des activités de traitement RGPD Article 30 ne couvre pas les traitements Shadow IT). Documenter et gouverner le Shadow IT via un inventaire des applications (avec CASB) est indispensable pour une conformité RGPD complète.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis