Shadow IT : le risque invisible qui explose dans les PME

1. Pourquoi le Shadow IT représente-t-il un risque pour les PME ?
2. Comment l’identifier dans son entreprise ?
3. Comment maîtriser le Shadow IT sans bloquer les collaborateurs ?
4. Comment sécuriser cette utilisation dans la durée ?
5. Les erreurs fréquentes face au Shadow IT
6. Shadow IT : les questions à se poser
7. Les points essentiels à retenir

Le Shadow IT n’est pas nécessairement le résultat d’un comportement malveillant. Dans beaucoup de cas, un collaborateur cherche simplement une solution pour répondre rapidement à un besoin professionnel.

Le risque apparaît lorsque ces outils échappent au contrôle de l’entreprise et que celle-ci ne sait plus précisément quels outils sont utilisés, quelles données y sont stockées ou qui peut y accéder.

Pourquoi les collaborateurs utilisent-ils des outils non validés ?

La cause est souvent très simple : l’outil officiel ne répond pas suffisamment vite ou suffisamment bien au besoin.

Un collaborateur peut trouver une application plus pratique, plus rapide ou plus adaptée à une tâche précise. Avec les services cloud, quelques minutes peuvent suffire pour créer un compte et commencer à travailler.

La CNIL souligne d’ailleurs qu’il est important de tenir compte des pratiques réelles des utilisateurs : le Shadow IT peut révéler des besoins essentiels qui ne sont pas suffisamment couverts ou un dysfonctionnement dans l’organisation informatique.

Il serait donc contre-productif de considérer chaque utilisateur comme le problème. Le Shadow IT peut aussi être un indicateur des besoins du terrain.

Les outils concernés par le Shadow IT

Le phénomène peut prendre des formes très différentes :

• Un service de stockage en ligne utilisé avec un compte personnel
• Une application de partage de fichiers
• Un outil de gestion de projet choisi par une équipe
• Un logiciel installé sans validation informatique
• Une messagerie ou un service de visioconférence non référencé
• Un outil d’intelligence artificielle utilisé pour traiter des informations professionnelles
• Un compte SaaS créé directement par un collaborateur avec une adresse professionnelle

Le Shadow IT ne concerne donc pas uniquement les logiciels installés sur les ordinateurs. Les services cloud et les applications SaaS peuvent également créer une informatique parallèle, parfois sans aucune installation locale.

Les principaux risques pour l’entreprise

Le premier risque concerne la perte de visibilité. Si le service informatique ignore l’existence d’un outil, il ne peut pas nécessairement vérifier ses paramètres de sécurité, ses utilisateurs ou les données qui y sont stockées.

Les données peuvent alors se retrouver dispersées entre plusieurs plateformes, avec des niveaux de protection différents. Un départ de collaborateur peut également poser problème si certaines informations restent associées à un compte personnel ou à un service dont l’entreprise ne maîtrise pas l’administration.

Le risque concerne aussi la confidentialité des données. La CNIL rappelle que les entreprises doivent sécuriser les données personnelles qu’elles détiennent et mettre en place des mesures adaptées aux risques.

Avant de chercher à bloquer les outils non autorisés, il faut savoir ce qui est réellement utilisé. C’est souvent la première difficulté pour une PME.

Comparer les outils officiels avec les usages réels

L’entreprise peut commencer par établir un inventaire des solutions officiellement utilisées : logiciels métier, applications cloud, outils collaboratifs, services de stockage, solutions de communication, etc.

Il faut ensuite confronter cet inventaire à la réalité du terrain.

Les échanges avec les équipes sont particulièrement utiles. Un service commercial, une équipe marketing ou un service administratif peuvent utiliser des outils dont la direction informatique n’a jamais entendu parler.

Cette démarche permet de distinguer les outils réellement nécessaires, les usages ponctuels et les solutions devenues inutiles.

Repérer les signes de Shadow IT

Certains indices doivent attirer l’attention :

• Des fichiers professionnels stockés sur des comptes personnels
• Des outils SaaS facturés directement par différents services
• Plusieurs solutions utilisées pour une même fonction
• Des comptes créés avec des adresses professionnelles sans processus de validation
• Des collaborateurs qui utilisent des solutions externes pour contourner une limitation d’un outil officiel

Les dépenses peuvent également constituer un indicateur. Une analyse des abonnements et des factures permet parfois de découvrir des services numériques souscrits directement par les métiers.

Les outils techniques peuvent compléter la détection

Les outils techniques peuvent améliorer la visibilité, notamment dans les environnements qui utilisent de nombreux services cloud. Ils ne remplacent toutefois pas l’analyse des usages.

Pour une PME, il n’est pas forcément nécessaire de déployer immédiatement une solution complexe. L’inventaire, les échanges avec les équipes et l’analyse des comptes et abonnements existants constituent déjà une première étape utile.

L’objectif est surtout de disposer d’une vision suffisamment fiable pour prendre des décisions.

Identifier les outils ne suffit pas. Il faut ensuite mettre en place un cadre qui permette de réduire les risques sans empêcher les équipes de travailler efficacement.

Faut-il interdire tous les outils non validés ?

Pas nécessairement. Une interdiction générale peut pousser les utilisateurs à chercher d’autres solutions, parfois encore moins visibles.

Il est souvent plus efficace de comprendre pourquoi un outil a été adopté. Si plusieurs collaborateurs utilisent une solution externe pour partager des fichiers, par exemple, cela peut révéler un besoin qui n’est pas suffisamment couvert par les outils officiels.

L’entreprise peut alors choisir de valider la solution, de proposer une alternative professionnelle ou de faire évoluer son environnement existant.

Mettre en place un cadre clair pour les utilisateurs

Une charte informatique peut préciser les règles applicables aux logiciels, services cloud, équipements personnels et usages professionnels.

Elle doit toutefois rester compréhensible et cohérente avec les pratiques réelles. La CNIL recommande justement de définir les règles d’utilisation des moyens informatiques en tenant compte des besoins des utilisateurs et rappelle qu’une charte doit être appliquée, et pas seulement rédigée.

Pour une PME, le cadre peut rester simple : quels outils sont autorisés, lesquels nécessitent une validation et à qui adresser une demande.

Proposer des alternatives aux outils non maîtrisés

Un processus de validation trop long favorise naturellement le contournement.

L’entreprise a donc intérêt à proposer un catalogue d’outils approuvés, avec des solutions adaptées aux principaux besoins : stockage, partage de documents, visioconférence, gestion de projet, signature électronique ou intelligence artificielle.

Lorsqu’un collaborateur demande un nouvel outil, le rôle du service informatique consiste alors à vérifier notamment la sécurité, les conditions d’utilisation, les données traitées et les besoins d’administration.

Dans le cloud, ces vérifications sont particulièrement importantes, car les responsabilités en matière de données et de sécurité peuvent varier selon le service et le niveau de contrôle du fournisseur.

Le Shadow IT n’est pas un problème que l’on règle une fois pour toutes. De nouveaux outils apparaissent, les équipes changent et les besoins évoluent. Il faut donc inscrire sa maîtrise dans le fonctionnement courant de l’entreprise.

Définir un responsable pour les outils utilisés

Chaque solution professionnelle devrait avoir un responsable identifié : service informatique, métier concerné ou responsable de projet. Cette personne doit notamment savoir pourquoi l’outil est utilisé, quelles données il contient et qui doit y avoir accès.

Cette responsabilité évite qu’un service cloud important repose uniquement sur le compte personnel d’un collaborateur.

Vérifier régulièrement les comptes et les accès

Un outil peut rester utilisé alors que certaines personnes n’en ont plus besoin. À l’inverse, des collaborateurs peuvent conserver des accès après un changement de poste. Un contrôle périodique permet donc de vérifier les comptes actifs, les droits accordés et les utilisateurs réellement concernés.

Cette démarche devient encore plus importante lorsqu’une entreprise utilise de nombreux services SaaS.

Maintenir une cohérence avec le système d’information

Enfin, les outils validés doivent rester intégrés à la stratégie informatique globale.

Les questions de sauvegarde, sécurité des postes, gestion des accès, protection des données et continuité d’activité doivent être prises en compte lorsque l’entreprise dépend fortement d’un service cloud.

L’objectif n’est pas d’administrer chaque outil de la même manière. Il faut surtout identifier les services réellement critiques et leur appliquer un niveau de contrôle adapté.

Certaines erreurs peuvent rendre la gestion du Shadow IT plus difficile, même lorsque l’entreprise a déjà commencé à identifier ses usages.

Ne pas prévoir de procédure lorsqu’un collaborateur quitte l’entreprise

Lorsqu’un salarié quitte l’entreprise, les comptes qu’il a créés auprès de services numériques doivent être identifiés et traités.

Sans procédure claire, un compte peut rester actif alors qu’il donne encore accès à des documents, données ou services professionnels.

Laisser les données professionnelles sans solution de récupération

Un outil peut devenir indispensable à une équipe sans que l’entreprise ait prévu ce qui se passe en cas de suppression du compte, de changement de fournisseur ou d’arrêt du service.

Pour les outils critiques, il faut donc réfléchir en amont à la récupération des données et à la réversibilité.

Multiplier les outils pour un même besoin

Le Shadow IT peut progressivement conduire plusieurs équipes à utiliser des solutions différentes pour effectuer la même tâche.

Cette multiplication complique les usages, augmente les coûts et peut rendre les données plus difficiles à retrouver. Avant d’ajouter un nouvel outil, il est donc utile de vérifier si une solution déjà disponible dans l’entreprise peut répondre au besoin.

Ne pas formaliser la sortie d’un outil

Supprimer un abonnement ne signifie pas forcément que le sujet est terminé. Il faut également vérifier ce qu’il advient des données, comptes, utilisateurs et éventuelles intégrations associés au service.

Prévoir une procédure de retrait permet d’éviter qu’un ancien outil continue à laisser des accès ou des données dispersées.

Comment savoir si un outil SaaS est réellement nécessaire ?

Un outil mérite d’être conservé lorsqu’il répond à un besoin professionnel clairement identifié et apporte une valeur réelle aux utilisateurs.

Avant de valider une solution, il peut être utile de regarder sa fréquence d’utilisation, le nombre de personnes concernées, les fonctionnalités réellement utilisées et l’existence éventuelle d’une solution déjà disponible dans l’entreprise.

Que devient un compte professionnel lorsqu’un collaborateur quitte l’entreprise ?

Le départ d’un collaborateur doit déclencher une vérification des services qu’il utilisait ou administrait.

L’entreprise doit notamment identifier les comptes dont il est propriétaire, les données associées et les éventuels accès d’autres utilisateurs. Pour les services importants, l’administration ne devrait pas dépendre d’une seule personne.

Que faire lorsqu’un fournisseur SaaS arrête son service ?

Il est préférable d’avoir anticipé cette situation avant qu’elle ne se produise.

Pour un outil important, l’entreprise peut vérifier les possibilités d’export des données, les formats disponibles, les conditions de restitution et les modalités de résiliation. Ces éléments permettent de limiter la dépendance à un fournisseur.

Peut-on utiliser un outil d’intelligence artificielle avec des données professionnelles ?

Oui, mais pas sans vérifier ce que deviennent les données transmises.

Avant d’utiliser un service d’intelligence artificielle avec des informations professionnelles, l’entreprise doit notamment déterminer quelles données peuvent être saisies, quelles règles s’appliquent à leur traitement et si le service répond aux exigences de confidentialité de l’entreprise.

Le Shadow IT n’est pas uniquement une question d’outils utilisés sans autorisation. Il révèle surtout un manque de visibilité sur une partie du système d’information et peut exposer l’entreprise à des risques liés aux données, aux accès et à la dépendance envers certains services.

Les points essentiels à retenir :

• Identifier les outils réellement utilisés dans l’entreprise, y compris les services cloud et les applications SaaS.
• Comprendre les besoins des collaborateurs avant de chercher à supprimer un outil.
• Évaluer les risques liés aux données et aux accès pour chaque solution importante.
• Mettre en place un cadre simple de validation et proposer des solutions adaptées aux besoins des équipes.
• Attribuer une responsabilité claire aux outils importants, afin qu’ils ne dépendent pas d’un seul collaborateur.
• Anticiper le cycle de vie des services numériques, notamment les départs de collaborateurs, la récupération des données et la fin d’un abonnement.
• Limiter la dispersion des outils et des données, en privilégiant des solutions cohérentes avec l’environnement informatique de l’entreprise.

Pour une PME ou une ETI, l’objectif n’est donc pas de supprimer toute initiative des collaborateurs. Il s’agit de reprendre la maîtrise des usages numériques, tout en conservant la souplesse nécessaire au fonctionnement de l’entreprise.