Que ce soit à cause du cloud, de la pandémie, de l'effondrement des systèmes informatiques centralisés, de la révolution de l'IA ou de tout cela à la fois, l'informatique parallèle échappe à tout contrôle dans de nombreuses organisations.
L’« informatique fantôme » – c’est-à-dire l’utilisation par les employés de systèmes, d’appareils, de logiciels et de services informatiques sans autorisation explicite ni supervision du service informatique – peut prendre de nombreuses formes : il peut s’agir d’un employé qui s’inscrit à la période d’essai gratuite d’un nouvel outil. Il s'agit d'un responsable disposant de droits d'administration qui approuve une demande pour son service et la met en œuvre sans le contrôle ni l'autorisation du service informatique. Il s'agit d'une nouvelle recrue bénéficiant d'un mode de travail hybride qui utilise une clé USB pour transporter des documents entre son bureau à domicile et les locaux de l'entreprise, et vice-versa.
Et selon Gartner, ce problème prend rapidement de l'ampleur. Le cabinet d'études spécialisées dans les technologies prévoit que 75 % des employés auront acquis, modifié ou créé des technologies hors du champ de vision du service informatique au cours des trois prochaines années, contre 41 % en 2023.
« À l’heure actuelle, on assiste à une démocratisation de la technologie et du travail d’analyse au sein de la plupart des organisations », explique Leigh McMullen, vice-présidente et analyste émérite chez Gartner, lors d’un discours d’ouverture prononcé l’année dernière à l’occasion du sommet sur la gestion des risques organisé par le cabinet. « Il se passe davantage de choses en dehors des services informatiques centraux et des services informatiques des divisions qu’au sein de ceux-ci. » « L'informatique parallèle fait désormais partie du quotidien. »
La transition massive vers le télétravail en est l'une des principales causes. « L’informatique parallèle a toujours existé, mais depuis la pandémie, elle a véritablement pris de l’ampleur, les télétravailleurs mettant en place leurs propres solutions informatiques », a déclaré Candy Alexander, RSSI et responsable du pôle cyberrisques au sein du cabinet de conseil en technologie NeuEon, lors d’un entretien exclusif accordé à Focal Point.
L'essor fulgurant de l' , du cloud et du logiciel en tant que service (SaaS) ne fait qu'aggraver le problème. Et la révolution de l'IA « » qui se profile à l'horizon fait de cette question un enjeu que les entreprises ne peuvent plus ignorer. « C’est tellement facile pour les employés de trouver eux-mêmes des solutions », explique Alexander. « La situation est vraiment hors de contrôle. »
L’informatique parallèle vient de gagner en puissance : découvrez l’« IA parallèle »
L'une des préoccupations les plus récentes concernant l'utilisation non autorisée de la technologie au sein des organisations aujourd'hui est ce qu'on appelle l'« IA fantôme », c'est-à-dire l'utilisation de l'IA générative pour créer des documents, du code, des images et des fichiers audio. L'« IA fantôme » présente les mêmes risques – voire davantage – pour les organisations que l'« informatique fantôme ».
«Il se passe davantage de choses en dehors des services informatiques centraux et des services informatiques des divisions qu’au sein de ceux-ci. » Le « Shadow IT » fait désormais partie du quotidien. »Leigh McMullen, analyste et vice-présidente chez Gartner
« Compte tenu de la rapidité avec laquelle l’IA générative est adoptée, de nombreuses organisations n’ont pas encore eu l’occasion d’élaborer des lignes directrices concernant l’utilisation de l’IA », explique Alexander. Les principaux risques liés à l'IA « fantôme » concernent le corpus de données à partir duquel l'organisation s'approvisionne en contenu. Si ces données sont inexactes ou biaisées, les résultats le seront également, ce qui pourrait nuire à la réputation de l'organisation ou à la fiabilité de ses produits.
Prenons, par exemple, un scénario dans lequel les équipes marketing commencent à utiliser des outils d'analyse des réseaux sociaux basés sur l'IA pour analyser le comportement des clients, optimiser les campagnes publicitaires ou anticiper les tendances. Ces collaborateurs n'ont pas obtenu l'autorisation de l'entreprise pour utiliser ces outils basés sur l'IA ; par conséquent, leur utilisation n'est pas correctement encadrée et les mesures de sécurité appropriées ne sont pas mises en place. Les risques liés à cette situation pourraient notamment inclure l'accès, par l'outil , à des données sensibles sur les clients ou à des informations confidentielles, ce qui pourrait entraîner des fuites de données, ou le non-respect d'exigences réglementaires telles que (HIPAA) ou les règles du RGPD de l'UE .
L'acquisition et l'utilisation de ces systèmes, logiciels, services et appareils sans l'accord du service informatique posent des défis considérables aux organisations, explique Alexander. Cela expose les données de l’organisation à des risques, car on ignore quelles applications et quels outils y ont accès ; cela peut entraîner des problèmes de conformité, pouvant déboucher sur des conséquences juridiques et des sanctions financières si certaines mesures ne sont pas respectées ; et cela peut favoriser la fragmentation de l’environnement informatique, avec des systèmes disparates qui ne s’intègrent pas de manière transparente.
« En matière de protection des données, la sécurité repose avant tout sur l'identification, le contrôle et la surveillance », explique-t-elle. « Et c’est tout simplement impossible d’y parvenir lorsque vos employés se promènent partout et laissent traîner des affaires un peu partout. » « Vous n'avez plus aucun contrôle là-dessus lorsque vous n'êtes pas devant. »
À la recherche de l'informatique fantôme
Sans les outils et les procédures adéquats, il est difficile d'évaluer dans quelle mesure votre organisation est touchée par l'informatique parallèle. Toutefois, selon Chris Cruz, directeur informatique du secteur public chez Tanium, certains signes permettent de s'en rendre compte. L'informatique « fantôme » est courante dans les organisations où les services ne relèvent pas d'un service informatique centralisé, ce qui entraîne un manque de structure de gouvernance et d'approvisionnement centralisé. De ce fait, ces groupes ont tendance à prendre leurs propres décisions, à acheter leurs propres produits et à suivre leurs propres protocoles, explique-t-il.
«C’est tellement facile pour les employés de trouver eux-mêmes des solutions. »Candy Alexander, responsable de la sécurité des systèmes d'information (RSSI) et responsable du pôle « risques cybernétiques » chez NeuEon
Parmi les autres signes révélateurs de l’informatique fantôme, on peut citer les augmentations inexpliquées des dépenses informatiques, qui indiquent l’achat d’outils ou de logiciels non autorisés et non conformes aux projets informatiques approuvés ; les réseaux fédérés hors du réseau central, qui ne nécessitent pas de la part des utilisateurs qu’ils fassent preuve de transparence quant aux décisions qu’ils prennent ; et, enfin, les incidents de sécurité ou les fuites de données pouvant être liés à des solutions informatiques non approuvées.
Maîtriser l'informatique parallèle
Compte tenu des enjeux considérables, les organisations devraient prendre des mesures concrètes pour réduire et gérer l'informatique parallèle, qu'il s'agisse d'adopter des outils permettant de détecter les logiciels et les applications ou d'impliquer les utilisateurs dans les discussions concernant les technologies qu'ils utilisent :
1. Investissez dans les technologies de gestion et de découverte des actifs
Les outils de gestion des actifs, qui servent à enregistrer et à suivre les actifs au sein des organisations, ainsi que les outils de découverte des actifs, qui analysent les réseaux afin de détecter le matériel et les logiciels connectés au réseau d’une organisation, constituent deux technologies essentielles pour lutter contre l’informatique fantôme.
[À lire également : Qu'est-ce que la découverte et l'inventaire des actifs informatiques ?]
« Aujourd’hui, la plupart des organisations ne savent pas quels équipements sont connectés au réseau », explique M. Cruz. « Ils ne savent pas combien de terminaux ils possèdent, ni quels actifs se trouvent au sein du réseau. » « Sans une gestion adéquate des actifs et sans une bonne compréhension de ce qui se passe au niveau des terminaux, vous ne pouvez pas gérer ce que vous ne pouvez pas mesurer. »
Dans une entreprise comptant environ 120 salariés, par exemple, les technologies de détection ont permis d'identifier 148 applications dont l'organisation ignorait totalement l'existence sur son réseau, explique Alexander. « C’est vraiment incroyable, compte tenu de la taille de l’organisation, mais ces outils permettent de cerner précisément ce qui se passe. »
Ces outils permettent non seulement aux organisations d'identifier les terminaux, les logiciels et les abonnements inconnus, mais aussi de réaliser des économies en mettant hors service les logiciels obsolètes, ajoute M. Cruz. « Il se peut que certaines entreprises continuent de payer pour des logiciels qu’elles n’utilisent même pas. » « Ces outils permettent également de s'assurer qu'ils disposent des licences appropriées pour les logiciels qu'ils utilisent, afin qu'aucun problème ne survienne lors des audits », explique-t-il.
2. Établir un inventaire
Après avoir procédé à un état des lieux des outils, du matériel et des logiciels, les organisations devraient dresser un inventaire afin de déterminer ce qui est encore utilisé, si ces éléments sont nécessaires, quelles redondances existent, quels logiciels hérités peuvent être mis hors service et pour quels logiciels il serait possible de renégocier les conditions, explique M. Cruz.
«On ne peut pas gérer ce qu’on ne peut pas mesurer. »Chris Cruz, directeur informatique du secteur public chez Tanium
« Cet inventaire vous permet également de déterminer quels sont les logiciels pour lesquels les identifiants de certains utilisateurs n’ont toujours pas été désactivés et qui pourraient encore permettre d’accéder à des données critiques », explique M. Cruz. « Cela vous aide non seulement à améliorer vos capacités opérationnelles et à optimiser votre retour sur investissement, mais cela vous permet également de mettre en place votre stratégie de sécurité et de réduire le nombre de logiciels présentant des failles de sécurité potentielles que vous ne pourriez pas évaluer autrement. »
3. Impliquer la communauté des utilisateurs
Comme les employés sont à l'origine de l'informatique parallèle, il est essentiel que les entreprises les associent aux discussions concernant les logiciels et les outils qu'ils utilisent, explique Alexander. Elle conseille de regrouper les différents outils ou applications similaires en catégories comportant quelques choix, puis de chercher à comprendre pourquoi la communauté les utilise et ce qu’elle apprécie chez eux.
« Vos premiers mots ne devraient pas être : “Non, vous ne pouvez pas faire ça.” » Vous devez nouer des liens avec l'entreprise et la communauté des utilisateurs, et vraiment comprendre pourquoi ils utilisent ces outils. Est-ce parce qu'ils les ont toujours utilisées ? Est-ce parce que quelqu'un leur a conseillé de les essayer ? « Est-ce parce que les outils dont dispose l’organisation ne répondent pas à ses besoins ? », demande-t-elle. « En sollicitant leur avis, vous leur donnez le sentiment d’être pris en considération grâce au rôle qu’ils jouent dans le choix des technologies. »
4. Accorder la priorité à l'éducation et à la formation
« Il est important que les employés comprennent qu’il existe des procédures qu’ils doivent respecter lorsqu’ils souhaitent adopter de nouveaux outils et applications », explique M. Cruz. Pour réduire le « shadow IT » au sein des organisations, il est primordial de former les collaborateurs à ces procédures opérationnelles standard, affirme-t-il.
«Notre priorité absolue devrait être de faire en sorte que la solution la plus sûre soit aussi la plus simple. »McMullen
« Les utilisateurs doivent faire partie de la solution, mais ils doivent également comprendre que tout le monde doit respecter les mêmes politiques et procédures en matière d’acquisition de nouvelles technologies », déclare-t-il. « Plus nous y parviendrons et plus nous parviendrons à instaurer ce niveau de communication, de collaboration et de confiance au sein de notre organisation, mieux nous serons à même de lutter contre l’informatique parallèle à l’avenir et de veiller à ce que des politiques appropriées soient mises en place pour que chacun puisse s’y conformer. »
En effet, selon Gartner, la conception de mesures de sécurité en collaboration avec l'utilisateur augmente de 23 % les chances d'adopter un comportement sécurisé. « Nous devons nous concentrer à ment sur l’expérience des collaborateurs en matière de cybersécurité », a conseillé M. McMullen, de Gartner. « Notre priorité absolue devrait être de faire en sorte que la solution la plus sûre soit aussi la plus simple à adopter. »
Ces politiques devraient prévoir que les employés ne puissent utiliser que des applications préalablement approuvées ; toutefois, les organisations devraient également mettre en place des procédures permettant aux utilisateurs de demander l'évaluation de nouvelles applications et de nouveaux outils, que ce soit par le biais d'un portail dédié ou d'un ticket d'assistance, explique Alexander. « C'est important, car vous souhaitez que les gens aient le sentiment de pouvoir participer à la définition des besoins technologiques », explique-t-elle.
Selon M. Cruz, alors que les organisations s'efforcent de gérer l'informatique parallèle, il est nécessaire de comprendre qu'il s'agit d'un processus continu. « Il est important de mesurer, de gérer, d’assurer le suivi et de veiller à ce que chacun respecte les processus et les normes communs, et à ce que chacun comprenne l’importance de ne pas laisser de portes déverrouillées dans ses locaux respectifs », explique-t-il. « Je dis toujours qu’il vaut mieux prévenir que guérir, et c’est la bonne façon de s’y prendre. »
