Blâmez-le sur le cloud, la pandémie, la panne de l’informatique centralisée, la révolution de l’IA ou tout ce qui précède, mais l’informatique fantôme devient incontrôlable dans de nombreuses organisations.
L’informatique parallèle, c’est-à-dire l’utilisation par les employés des systèmes, appareils, logiciels et services informatiques sans l’approbation ou la supervision explicite du service informatique, peut prendre de nombreuses formes : c’est un employé qui s’inscrit à l’essai gratuit d’un nouvel outil. Il s’agit d’un responsable disposant de contrôles administratifs qui approuve une application pour son unité et la met en œuvre sans la supervision ou la permission du service informatique. Il s’agit d’une nouvelle recrue avec un calendrier de travail hybride qui utilise une clé USB pour transporter des documents de son bureau à domicile au bureau de l’entreprise et de retour.
Et c’est un problème qui se développe rapidement, selon Gartner. Le cabinet de recherche technologique prévoit que 75 % des employés auront acquis, modifié ou créé des technologies en dehors de la visibilité de l’informatique au cours des trois prochaines années, contre 41 % en 2023.
« À ce stade, il y a eu une démocratisation du travail technologique et analytique dans la plupart des organisations », explique Leigh McMullen, vice-président analyste distingué chez Gartner, lors d’une allocution lors du sommet de gestion des risques de l’entreprise l’année dernière. « Il se passe plus en dehors des fonctions informatiques centrales et des fonctions informatiques de la division qu’à l’intérieur. Shadow IT fonctionne désormais comme d’habitude. »
Le passage massif au télétravail est un coupable majeur. « Nous avons toujours eu l’informatique parallèle, mais depuis la pandémie, elle a vraiment explosé avec des personnes travaillant à distance et proposant leurs propres solutions informatiques », a déclaré Candy Alexander, RSSI et responsable des pratiques de cyber-risque chez la société de conseil technologique NeuEon, dans un entretien exclusif avec Focal Point.
L’explosion du cloud et du logiciel en tant que service (SaaS) ne fait qu’ajouter au problème. Et la révolution imminente de l’IA en fait un problème que les entreprises ne peuvent plus ignorer. « Il est tellement facile pour les employés d’aller chercher eux-mêmes des solutions », déclare Alexander. « C’est vraiment incontrôlable. »
[Lire également : Qu’est-ce que la gestion des risques ? Une vue d’ensemble simplifiée]
L’informatique fantôme vient de se renforcer : découvrez l’« IA fantôme »
L’une des dernières préoccupations concernant l’utilisation non autorisée de la technologie dans les organisations d’aujourd’hui est l’IA fantôme, ou l’utilisation de l’IA générative pour créer des documents, du code, des images et de l’audio. L’IA fantôme présente les mêmes risques, voire potentiellement plus, pour les organisations que l’informatique fantôme.
« Il se passe plus en dehors des fonctions informatiques centrales et des fonctions informatiques de la division qu’à l’intérieur. L’informatique fantôme fonctionne désormais comme d’habitude. »Leigh McMullen, Vice-président analyste, Gartner
« Avec le rythme rapide de l ’adoption de l’IA générative, de nombreuses organisations n’ont pas eu l’occasion de développer des directives concernant l’utilisation de l’IA », déclare Alexander. Les principaux risques de l’IA fantôme impliquent le pool de données à partir duquel l’organisation s’approvisionne en contenu. S’il est inexact ou biaisé, les résultats seront également potentiellement préjudiciables à la réputation ou à la fiabilité des produits de l’organisation.
Prenez, par exemple, un scénario où les membres du personnel marketing commencent à utiliser des outils d’analyse des réseaux sociaux alimentés par l’IA pour analyser le comportement des clients, optimiser les campagnes publicitaires ou prédire les tendances. Ces employés n’ont pas obtenu l’approbation de l’organisation pour utiliser les outils alimentés par l’IA, ils ne sont donc pas correctement régis et n’ont pas les mesures de sécurité appropriées en place. Les menaces qui en découlent peuvent inclure l’accès à des données client sensibles ou à des informations exclusives, ce qui pourrait entraîner des violations de données, ou le non-respect des exigences réglementaires telles que la loi HIPAA ou les règles du RGPD de l’UE.
L’achat et l’utilisation de ces systèmes, logiciels, services et appareils sans l’approbation du service informatique créent des défis importants pour les organisations, déclare Alexander. Cela met en danger les données de l’organisation car on ne sait pas quelles applications et outils y ont accès ; cela peut entraîner des problèmes de conformité, entraînant potentiellement des conséquences juridiques et des sanctions financières si des mesures spécifiques ne sont pas respectées ; et cela peut alimenter un environnement informatique fragmenté avec des systèmes disparates qui ne s’intègrent pas de manière transparente.
« La sécurité dans la protection des données consiste à identifier, contrôler et surveiller », déclare-t-elle. « Et il n’y a aucun moyen de le faire lorsque vous avez des employés qui sortent et mettent tout partout et n’importe où. Vous avez perdu tout contrôle sur cela lorsque vous n’êtes pas devant. »
Recherche de systèmes informatiques fantômes
Sans les outils et procédures appropriés, il est difficile d’évaluer dans quelle mesure votre organisation est affectée par l’informatique fantôme. Cependant, explique Chris Cruz, DSI du secteur public chez Tanium, il y a quelques signes à rechercher. L’informatique fantôme est courante dans les organisations où les ressources ne rendent pas compte à l’informatique centralisée, ce qui crée un manque de structure de gouvernance et d’approvisionnement centralisé. Par conséquent, ces groupes ont tendance à prendre leurs propres décisions, à acheter leurs propres produits et à suivre leurs propres protocoles, dit-il.
« Il est tellement facile pour les employés d’aller chercher eux-mêmes des solutions. »Candy Alexander, RSSI et responsable des pratiques de cyber-risque, NeuEon
D’autres signes de Shadow IT comprennent des augmentations inexpliquées des dépenses informatiques, indiquant des achats d’outils ou de logiciels non autorisés qui ne sont pas alignés sur des projets informatiques approuvés ; des réseaux fédérés hors du réseau central, qui n’exigent pas que les personnes soient transparentes sur les décisions qu’elles prennent ; et, en fin de compte, des incidents de sécurité ou des violations de données qui peuvent être liés à des solutions informatiques non approuvées.
Contrôler l’informatique fantôme
Les enjeux étant si élevés, les organisations doivent prendre des mesures spécifiques pour réduire et gérer l’informatique parallèle, de l’adoption d’outils pour détecter les logiciels et les applications à l’implication des utilisateurs dans des conversations autour de la technologie qu’ils utilisent :
1. Investir dans les technologies de gestion et de découverte des actifs
Les outils de gestion des actifs, qui sont utilisés pour enregistrer et suivre les actifs dans les organisations, et les outils de découverte d’actifs, qui analysent les réseaux pour détecter le matériel et les logiciels connectés au réseau d’une organisation, sont deux technologies clés pour décomposer l’informatique fantôme.
[Lire également : Qu’est-ce que la découverte et l’inventaire des actifs informatiques ?
« La plupart des organisations d’aujourd’hui ne savent pas quels actifs sont connectés au réseau », déclare Cruz. « Ils ne savent pas combien d’ endpoints ils ont ou quels actifs sont contenus dans le réseau. Sans une gestion appropriée des actifs et une découverte de ce qui se passe sur l’endpoint, vous ne pouvez pas gérer ce que vous ne pouvez pas mesurer. »
Dans une entreprise d’environ 120 employés, par exemple, les technologies de découverte ont identifié 148 applications dont l’organisation ne savait jamais qu’elles existaient sur son réseau, déclare Alexander. « C’est vraiment fou compte tenu de la taille de l’organisation, mais ces outils aident à mettre en évidence exactement ce qui se passe. »
Ces outils aident non seulement les organisations à identifier les endpoints, logiciels et abonnements inconnus, mais ils permettent également d’économiser de l’argent en désactivant les logiciels existants, ajoute Cruz. « Les entreprises peuvent encore payer pour les logiciels qu’elles n’utilisent même pas. Ces outils aident également à s’assurer qu’ils sont sous licence appropriée pour le logiciel qu’ils ont, afin qu’aucun problème ne se produise lorsque des audits se produisent », déclare-t-il.
2. Développer un inventaire
Après avoir effectué une découverte des outils, du matériel et des logiciels, les organisations doivent développer un inventaire pour déterminer ce qui est encore utilisé, s’il est nécessaire, quelles redondances existent, quels logiciels existants peuvent être mis hors service et quels logiciels pourraient être renégociés, explique Cruz.
« Vous ne pouvez pas gérer ce que vous ne pouvez pas mesurer. »Chris Cruz, DSI du secteur public, Tanium
« Une autre chose que cet inventaire vous aide à déterminer est quel logiciel existe pour lequel les informations d’identification des personnes n’ont toujours pas été désactivées et peuvent toujours être en mesure d’accéder aux données critiques », déclare Cruz. « Cela vous aide non seulement à gérer vos capacités opérationnelles et votre retour sur investissement, mais également à mettre en place votre profil de sécurité et à réduire les logiciels où vous présentez des vulnérabilités de sécurité potentielles que vous ne pouviez pas mesurer autrement. »
3. Impliquer la communauté d’utilisateurs
Étant donné que les employés sont à l’origine de l’informatique parallèle, il est essentiel que les organisations les impliquent dans des conversations sur les logiciels et les outils qu’ils utilisent, déclare Alexander. Elle conseille de réduire les divers outils ou applications similaires en catégories avec quelques choix, puis de chercher à comprendre pourquoi la communauté les utilise et ce qu’ils aiment à leur sujet.
« Vos premiers mots ne doivent pas être « Non, vous ne pouvez pas le faire ». Vous devez établir la relation avec l’entreprise et la communauté d’utilisateurs et comprendre vraiment pourquoi ils utilisent ces outils. Est-ce parce qu’ils les ont toujours utilisés ? Est-ce parce que quelqu’un leur a dit de les essayer ? Est-ce parce que les outils dont l’organisation dispose ne répondent pas à leurs besoins ? » dit-elle. « En obtenant leur contribution, ils se sentent valorisés en raison du rôle qu’ils jouent dans la sélection des technologies. »
4. Hiérarchiser l’éducation et la formation
Il est important que les employés comprennent qu’il existe des protocoles qu’ils doivent suivre lorsqu’ils cherchent à adopter de nouveaux outils et applications, explique Cruz. Pour réduire l’informatique parallèle dans les organisations, l’éducation autour de ces procédures opérationnelles standard est primordiale, dit-il.
« Notre priorité absolue devrait être de faire ce qu’il faut de sécurisé pour faire ce qui est le plus facile à faire. »McMullen
« Les utilisateurs doivent faire partie de la solution, mais ils doivent également comprendre que tout le monde doit suivre les mêmes politiques et procédures pour acquérir de nouvelles technologies », déclare-t-il. « Plus nous pourrons le faire et avoir ce niveau de communication, de partenariat et de confiance au sein de notre organisation, nous serons plus à même de traiter les systèmes informatiques fantômes à l’avenir et de nous assurer qu’il existe des politiques appropriées que tout le monde doit suivre. »
En fait, selon Gartner, la conception de contrôles de sécurité avec l’utilisateur augmente la probabilité de comportement sécurisé de 23 %. « Nous devons être obsédés par l’expérience des employés en matière de cybersécurité », a conseillé McMullen de Gartner. « Notre priorité absolue devrait être de faire ce qu’il faut de sécurisé pour faire ce qui est le plus facile à faire. »
Ces politiques doivent inclure des stipulations selon lesquelles les employés ne peuvent utiliser que des applications préapprouvées, mais les organisations doivent également fournir des processus que les utilisateurs doivent suivre pour demander de nouvelles applications et de nouveaux outils pour l’évaluation, que ce soit via un portail dédié ou un ticket d’assistance, déclare Alexander. « C’est important parce que vous voulez que les gens sentent qu’ils peuvent collaborer pour déterminer quels sont les besoins technologiques », dit-elle.
Étant donné que les organisations visent à gérer l’informatique parallèle, il est nécessaire de comprendre qu’il s’agit d’un processus continu, explique Cruz. « Il est important de mesurer, de gérer, de suivre et de s’assurer que tout le monde suit les processus et normes courants, et qu’ils comprennent l’importance de ne pas avoir de portes déverrouillées dans vos environnements respectifs », dit-il. « Je dis toujours qu’une once de prévention vaut une livre de remède, et c’est la bonne façon de le faire. »
