Qu'est-ce que le shadow IT ?

Le shadow IT désigne l'utilisation de logiciels, de matériels, de services cloud ou d'autres technologies au sein d'une organisation sans la connaissance ni l'approbation du service informatique. Il se manifeste généralement de deux façons : un employé adopte un outil non approuvé pour traiter des données professionnelles, ou utilise un outil approuvé de façon non autorisée, par exemple via un compte personnel. L'intention est rarement malveillante. Les personnes utilisent ce qui leur permet de faire leur travail. Mais comme la DSI n'a aucune visibilité sur ces outils, elle ne peut ni les sécuriser, ni les surveiller, ni les maintenir, et c'est dans cet angle mort que réside le risque. Le shadow IT a progressé avec le passage au cloud et au logiciel en tant que service (SaaS), où un nouvel outil est à portée d'une simple inscription, et il a encore accéléré avec l'IA générative. Cette page couvre ce qu'est le shadow IT, pourquoi il apparaît, les risques et les avantages réels, les exemples courants dont la catégorie en plein essor du shadow AI, et comment les organisations reprennent le contrôle.

Ce qu'il faut retenir

Le shadow IT est une technologie non sanctionnée. Il s'agit de tout matériel, logiciel ou service utilisé à des fins professionnelles sans approbation ni connaissance de la DSI.
Il est généralement bien intentionné. La plupart du shadow IT vient d'employés qui cherchent à travailler plus vite ou mieux, pas d'acteurs malveillants.
Le problème central est la perte de visibilité. La DSI ne peut pas protéger ce qu'elle ne voit pas, de sorte que le shadow IT crée des lacunes en matière de sécurité, de surveillance et de conformité.
Il présente aussi de vrais avantages. Le shadow IT peut faire émerger de meilleurs outils et améliorer la productivité, et une partie finit par être officiellement approuvée.
Le shadow AI est sa forme à la croissance la plus rapide. L'utilisation non sanctionnée d'outils d'IA générative ajoute de nouveaux risques de fuite de données et de non-conformité aux risques traditionnels du shadow IT.

Pourquoi le shadow IT existe

Comprendre la motivation est la première étape pour le gérer, car le shadow IT est davantage un symptôme qu'une cause. Les facteurs déclencheurs courants :

Les outils approuvés ne suffisent pas. L'option sanctionnée peut être plus lente, moins ergonomique ou dépourvue d'une fonctionnalité, alors les employés choisissent quelque chose qui correspond mieux à la tâche.
Les utilisateurs ignorent le risque. Beaucoup ne réalisent pas que l'utilisation d'une application personnelle pour des données professionnelles peut exposer des informations sensibles, ils ne contournent donc pas les règles délibérément.
Le SaaS et le cloud rendent les choses sans effort. Un nouveau service peut être opérationnel en quelques minutes avec une carte bancaire ou un accès gratuit, sans étape d'achat pour ralentir l'adoption.
Les achats se font en dehors de la DSI. Quand les départements financent leurs propres outils, la DSI est souvent tenue à l'écart, et des enquêtes sectorielles ont montré qu'une grande partie des dépenses technologiques se fait désormais en dehors du budget IT.
Le travail à distance et le BYOD brouillent les frontières. Les appareils personnels et les réseaux domestiques mélangent outils professionnels et personnels d'une façon difficile à voir ou à contrôler pour la DSI.

Exemples courants de shadow IT

Le shadow IT prend de nombreuses formes, d'un simple transfert de fichier à tout un département faisant tourner une plateforme non sanctionnée. Parmi les exemples typiques :

SaaS et stockage cloud non approuvés, comme le partage de fichiers d'entreprise via un Dropbox personnel, Google Drive ou une messagerie.
Appareils personnels (BYOD), notamment téléphones, ordinateurs portables et clés USB utilisés pour accéder à des données professionnelles ou les déplacer hors des contrôles managés.
Applications de productivité et de collaboration non vérifiées, comme des outils de projet ou de prise de notes adoptés par une équipe sur des comptes personnels.
Logiciels installés sans vérification IT, y compris des extensions de navigateur qui peuvent lire ou déplacer des données discrètement.
Outils d'IA générative, traités ci-dessous sous la catégorie shadow AI, qui sont devenus l'une des nouvelles formes les plus courantes.

L'ampleur est facile à sous-estimer. Des études ont régulièrement constaté que la grande majorité des employés utilisent des logiciels que leur service informatique n'a pas approuvés, et que les organisations font généralement tourner bien plus de services cloud qu'elles ne peuvent en recenser. Les chiffres précis varient selon les études, mais le schéma est constant : la plupart des environnements contiennent plus de shadow IT que leurs responsables ne le pensent.

Risques et avantages du shadow IT

Le shadow IT n'est pas purement négatif, ce qui est en partie ce qui rend sa gestion difficile. Le même comportement qui crée une exposition peut aussi faire émerger une valeur réelle. Il est important d'en peser les deux aspects.

Risques	Avantages
Exposition des données et compromissions : Des données sensibles atterrissent dans des outils que la DSI ne peut pas sécuriser ni surveiller.	Productivité : L'équipe la plus proche du travail trouve souvent l'outil le mieux adapté.
Violations de conformité : Un traitement non géré des données peut enfreindre des réglementations comme le RGPD.	Innovation : Les employés testent et valident des outils utiles avant leur adoption formelle.
Perte de visibilité : L'absence de journalisation ou de supervision signifie que les attaques sur les outils shadow IT peuvent passer inaperçues.	Mise en évidence des lacunes : Le shadow IT révèle là où les outils approuvés sont insuffisants.
Surface d'attaque élargie : Les applications et appareils non managés contournent les contrôles d'endpoints, de DLP et de MDM.	Chemin vers les outils sanctionnés : Une partie du shadow IT est finalement vérifiée et formellement approuvée.

L'équilibre penche vers le risque à mesure que le shadow IT prend de l'ampleur. Une seule équipe utilisant une application non sanctionnée est gérable ; des centaines de services inconnus dans une organisation représentent une exposition sérieuse. L'objectif n'est pas de prétendre que les avantages n'existent pas, mais de les capturer via des canaux sanctionnés plutôt que des canaux non surveillés.

Le shadow AI : la forme la plus récente

Le shadow AI est l'utilisation non sanctionnée d'outils d'intelligence artificielle, le plus souvent des assistants d'IA générative, sans supervision de la DSI. C'est un sous-ensemble du shadow IT, et il croît rapidement car les outils sont à la fois très accessibles et très utiles. La distinction est importante car le shadow AI ajoute des risques spécifiques à la façon dont l'IA traite les données. Un employé qui colle du texte confidentiel, du code source ou des données clients dans un outil d'IA public envoie peut-être ces informations à un service externe sans aucune garantie sur la façon dont elles sont stockées ou utilisées, ce qui soulève de nouvelles préoccupations en matière de protection des données et de propriété intellectuelle, en plus des risques habituels du shadow IT. La leçon du shadow IT s'applique directement : les interdictions générales tendent à échouer, tandis que des directives claires, des options d'IA approuvées et des permissions basées sur les rôles canalisent la demande en toute sécurité.

Comment gérer le shadow IT

Gérer le shadow IT est un mélange de technologie, de processus et de culture. L'application seule ne fonctionne pas, car elle pousse le comportement encore plus profondément dans l'ombre. Une approche viable combine plusieurs éléments :

Découvrir ce qui est réellement utilisé. Les outils de découverte du shadow IT identifient les systèmes et services approuvés et non approuvés dans l'environnement, pour que la DSI puisse voir la situation réelle avant de décider de ce qu'il faut autoriser, restreindre ou bloquer.
Utiliser des contrôles dédiés là où ils s'appliquent. Un courtier en sécurité d'accès au cloud (CASB) ajoute visibilité et contrôle sur les applications cloud, en regroupant découverte, contrôle d'accès et prévention des pertes de données (DLP) ; la gestion de la posture de sécurité SaaS (SSPM) aide à gouverner les configurations SaaS sanctionnées.
Définir une politique claire et réaliste. Une politique de shadow IT définit comment les nouveaux outils sont demandés, approuvés et gérés, et elle fonctionne mieux lorsqu'elle est facile à suivre plutôt que purement restrictive.
Proposer rapidement de bonnes alternatives approuvées. Une grande partie du shadow IT disparaît lorsque l'option sanctionnée est réellement bonne et facile d'accès, de sorte qu'un processus d'approbation rapide et sans friction supprime l'incitation à contourner la DSI.
Former les utilisateurs et abandonner le blâme. Expliquer les risques en termes concrets, et associer cela à une culture de la non-culpabilisation, afin que les employés révèlent les outils qu'ils utilisent plutôt que de les cacher.

Avis d'expert : on ne peut pas défendre ce qu'on ne voit pas

Tout discours sur le shadow IT revient au même mot : visibilité. La raison pour laquelle le shadow IT est dangereux n'est pas qu'une application SaaS donnée est intrinsèquement dangereuse, c'est que l'équipe de sécurité ne sait pas que cette application existe, de sorte qu'elle échappe à la surveillance, à la correction et à la réponse à incident. Un actif que personne ne suit est un actif que personne ne défend. Lorsqu'un acteur de la menace compromet une application ou un appareil non managé, le premier signe du problème est souvent la compromission elle-même.

C'est là que le côté découverte du shadow IT rencontre les opérations de sécurité. Connaître sa vraie surface d'attaque, chaque actif, service et compte qui touche l'organisation, est la condition préalable pour la défendre, et c'est précisément ce que le shadow IT érode. Sekoia est un éditeur européen de cybersécurité dont la plateforme intègre la gestion de la surface d'attaque des actifs cyber (CAASM) via Sekoia Reveal, qui construit un inventaire des actifs d'une organisation et aide à faire remonter les actifs inconnus ou non managés que le shadow IT crée. Alimenter cette vision des actifs dans la plateforme SOC plus large signifie que lorsqu'un service précédemment invisible commence à se comporter anormalement, il peut être vu et investigué plutôt que manqué.

Pour être clair sur le périmètre : la gouvernance dédiée du shadow IT, bloquer une application SaaS spécifique, y appliquer la DLP, gérer sa configuration, c'est le rôle d'outils comme un CASB ou un SSPM, et Sekoia n'en est pas un. Ce qu'une plateforme AI SOC unifiée avec visibilité sur les actifs apporte, c'est le volet sécurité du problème : réduire les angles morts que le shadow IT crée, et détecter l'activité malveillante sur des actifs que les outils de gouvernance seuls ne surveilleraient jamais. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia convient également aux organisations qui ont besoin que leurs données d'actifs et de sécurité soient traitées sous une gouvernance européenne.