Comment combiner Shadow IT et PSSI ?

En entreprise, le Shadow IT a existé depuis des années sans faire grand bruit. Avec le confinement et le télétravail imposé par la crise sanitaire, son utilisation a atteint son paroxysme et le sujet mérite davantage de réflexion à l’heure actuelle. Comment concilier cette pratique avec le respect de la PSSI de son entreprise ?

Comprendre le Shadow IT

Pratiqué par les salariés d’une entreprise ou d’un établissement public, le Shadow IT désigne l’utilisation de ressources matérielles et logicielles non approuvées par la direction ou le département en charge de la Sécurité Informatique. Par exemple un salarié en télétravail exerçant ses fonctions en se connectant à internet sans utiliser le réseau privé de l’entreprise. De même lorsque les employés travaillant en local ont recours à des plateformes grand public en ligne, choisis par eux-mêmes, pour traiter ou s’échanger des fichiers, type WeTransfer. Ces pratiques s’expliquent généralement par la recherche d’une méthode qui facilite la réalisation des tâches quotidiennes. Lorsque le salarié a compris les limites du process établi par son entreprise, en termes de rapidité et d’efficacité, il trouve des alternatives pour améliorer son rendement. Le Shadow IT peut être pratiqué à l’insu ou avec le consentement de l’employeur. Lorsque le salarié utilise ses propres terminaux, c’est-à-dire son ordinateur personnel, sa tablette ou son smartphone, on utilise le terme BYOD (Bring Your Own Device).

80% des salariés reconnaissent utiliser des solutions informatiques non validées par leur DSI. Source : Talkspirit

Shadow IT : le rendement au détriment de la cybersécurité ?

Les appareils ainsi que les progiciels disposés par l’entreprise sont conformes à la RGPD et ont fait l’objet de mesures importantes pour garantir la sécurisation des données. Ce qui n’est pas forcément le cas des outils personnels et des logiciels en ligne.  Le contexte Covid-19 et les mesures sanitaires afférentes ont obligés de nombreuses entreprises à s’adapter et mettre en place rapidement du télétravail, non sans improvisation et tâtonnements. Bon nombre d’entre eux n’ont pas assez d’outils permettant de travailler à distance, poussant leurs collaborateurs à en chercher par eux-mêmes sur le web. En utilisant ces ressources hors process, le salarié s’expose et expose son employeur aux risques relatifs à la cybersécurité. Selon une étude menée par Gartner, une cyberattaque sur trois a été réalisée en exploitant les failles du Shadow IT.

Les avantages du Shadow IT

Malgré les risques liés à la sécurité informatique, le Shadow IT présente plusieurs avantages. Tout d’abord, cette pratique permet aux salariés de gagner du temps et de booster leur productivité. Recourir au BYOD permet aux entreprises de réduire les coûts d’équipement. Durant cette crise sanitaire, il a ainsi été possible aux entreprises d’envoyer un grand nombre de salariés en télétravail du jour au lendemain sans avoir à investir dans des postes de travail nomades. La vulgarisation de l’informatique grand public et d’internet en général a facilité ce basculement. Cette alternative était tout bonnement impossible il y a encore 15 ans.

Shadow IT : un incontournable qu’il convient de maîtriser

Le Shadow IT a toujours fait partie intégrante de la vie des entreprises et ce n’est pas près de changer, c’est une certitude. Cependant, toutes les pratiques en Shadow IT ne sont pas bénéfiques, il convient de distinguer les bonnes des mauvaises. L’essentiel est de réduire au maximum les risques de cybersécurité et de garantir la protection des données sensibles. La solution est donc de les maîtriser en éduquant et en sensibilisant les collaborateurs. Pour le BYOD, c’est un peu plus compliqué. Si certains smartphones et tablettes sont conçus avec un système de protection natif, les PC personnels sont les plus exposés. À la limite, la société doit fournir les bons outils aux employés qui doivent travailler avec leurs propres appareils. Ou alors rendre le matériel et tout miser sur des solutions de bureaux à distance, VPN ou SI en SaaS.

Tout est question de bon sens, raison pour laquelle il est très important de mener une véritable campagne de recensement et d’évangélisation autour de ces sujets majeurs que sont le Shadow IT et le BYOD. Si les risques sont maîtrisés et les données sécurisées, les menaces sont minimisés.

Articles récents