Résumé
Chaque fois qu'un employé utilise un service, une solution ou un appareil informatique personnel sans l'approbation ou la connaissance de son département IT, on parle d'IT fantôme – un phénomène en pleine expansion. Les employés ont généralement de bonnes intentions, mais ne mesurent pas les dangers que cela représente pour l'organisation. C'est le job de l'équipe de sécurité de comprendre pourquoi ils se tournent vers ces applications externes, et de proposer des moyens sûrs et fiables pour atteindre leurs objectifs.
« Je pense que vous avez tout à fait raison lorsque vous dites… la sécurité doit être au service de l'entreprise », déclare Stephanie Aceves de Tanium. « Il ne s'agit pas de : Faites ces 40 choses pour que nous puissions cocher cette case. »
Hôte : Stephanie Aceves, directrice principale de la gestion des produits, Tanium
Invitée : Candy Alexander, CISO et responsable de la pratique cyber, NeuEon Inc.
Notes de l'épisode
Pour en savoir plus sur l'IT fantôme et les meilleures façons de le maîtriser, consultez ces articles dans Focal Point, le magazine en ligne primé de Tanium dédié à la cybersécurité, ainsi que ces autres ressources utiles.
- L'IT fantôme est « hors de contrôle » – Voici comment gérer le risque | Focal Point
- 6 Raisons pour lesquelles les membres de votre organisation utilisent l'IT fantôme | Tanium
- Qu'est-ce que l'identification et l'inventaire des actifs ? | Focal Point
- Avec Tanium Asset, combattez le Shadow IT grâce aux données en temps réel | Tanium
Transcript
L'entretien suivant a été modifié pour plus de clarté.
"Nous ne pouvons pas nous permettre d'être le « département du non ». Cette époque est révolue, n'est-ce pas ’90s ? Nous devons donc mieux comprendre ce que l'entreprise cherche à accomplir et quels sont ses défis."Candy Alexander, RSSI et responsable de la pratique cyber, NeuEon Inc.
Stephanie Aceves : Il y a de fortes chances que, comme la plupart des collaborateurs, vous ayez déjà enfreint les règles : peut-être avez-vous ignoré la politique de votre entreprise en utilisant une application non approuvée comme Trello ou Dropbox, connecté un tracker de fitness au réseau professionnel, ou encore transféré des documents de travail vers votre messagerie personnelle.
Bonjour, je suis Stephanie Aceves, directrice principale de la gestion des produits chez Tanium, et aujourd'hui dans Let's Converge, nous abordons le sujet du Shadow IT et de sa version la plus récente et la plus préoccupante : le Shadow AI.
Au cours des trois prochaines années, 75% des collaborateurs auront créé, modifié ou acquis d'une façon ou d'une autre des technologies que leur département informatique n'a pas approuvées et dont il ignore l'utilisation. C'est ce que révèle une étude de Gartner. Et la révolution de l'IA qui s'annonce ne fera qu'aggraver la situation.
Candy Alexander, CISO et responsable des pratiques cyber chez NeuEon Inc., un cabinet de conseil en gestion d'entreprise de premier plan, se joint à moi aujourd'hui pour aborder cette question. En plus de développer et de gérer des programmes de sécurité d'entreprise, Candy a été élue à deux reprises présidente internationale de l'Information Systems Security Association, ou ISSA, et elle siège depuis longtemps au conseil d'administration international de cette organisation. Bienvenue dans ce podcast, Candy.
Candy Alexander: Merci, Stephanie. C'est un plaisir d'être ici.
Aceves: Nous sommes ravis de vous accueillir. Je souhaite commencer par les fondamentaux. Le Shadow IT est un problème croissant pour les entreprises, et il prend de nombreuses formes. Dès qu'un collaborateur utilise un service, une solution ou un appareil informatique sans l'approbation de son département IT ou à son insu, on parle de Shadow IT.
Lorsque j'ai débuté ma carrière, avant de me spécialiser dans la cybersécurité, j'étais stagiaire dans une entreprise aérospatiale, et je téléchargeais mes propres versions de Notepad++ ou d'autres outils sur internet, sans vraiment mesurer les risques. Je pense que la plupart des personnes qui nous écoutent ont conscience de ce problème. Mais Candy, quelles sont les formes les plus insidieuses de l'informatique fantôme, et quels sont les produits et pratiques que les employés ne réalisent même pas être problématiques ?
Alexander: Parmi les plus insidieuses – je dirais même les plus risquées – figurent celles qui impliquent des données sensibles. Ce que je veux dire par là, c'est que tout le monde sait, je l'espère, que les usages courants de l'informatique fantôme, comme Dropbox ou Google Drive – [elle rit] – j'ai même rencontré des personnes qui se sont inscrites sur Google avec leur domaine d'entreprise et tout le reste – ce qui constitue, bien entendu, un motif d'inquiétude.
Mais je pense que les usages les plus insidieux ou les plus dangereux de l'informatique fantôme sont ceux qui, encore une fois, concernent des informations confidentielles ou sensibles. Qu'est-ce que cela signifie concrètement ? Soyons honnêtes : nos utilisateurs et nos entreprises souhaitent avant tout accomplir leur travail. Et la meilleure façon d'y parvenir, c'est de recourir à des outils adaptés. Je sais que de nombreux utilisateurs trouvent que la demande d'accès à un logiciel peut représenter un parcours long et fastidieux au sein des grandes entreprises américaines et mondiales.
Ils se tournent alors vers des versions gratuites de tel ou tel outil. Parmi les plus couramment utilisées, on trouve, et c'est assez surprenant, des applications de gestion de projet – comme Monday ou Asana. J'ai même rencontré des instances où des personnes utilisaient leur propre version personnelle de Microsoft Planboard ou autre, et c'est ce qui préoccupe le plus un CISO – car les données de l'entreprise échappent alors à tout contrôle.
Ce sont donc, à mon sens, les plus insidieuses : celles qui répondent à des besoins légitimes, avec de bonnes intentions. Ce qu'il faut vraiment souligner, c'est que lorsque des employés ont recours à l'informatique fantôme ou sortent du cadre des logiciels approuvés par l'entreprise, ils le font avec de bonnes intentions. En tant que professionnels de la sécurité, nous devons comprendre qu'ils cherchent sincèrement à bien faire. Ce sont donc ces applications, dont l'usage est [mal compris], qui me préoccupent le plus.
Aceves: Oui, c'est un point très pertinent. Vous avez abordé le risque lié à la perte de données... des informations sensibles quittant les appareils ou les Assets gérés par l'entreprise. Existe-t-il un risque dans l'autre sens, où un employé installe une application qui pourrait permettre à un attaquant de s'introduire dans le système ? Ce risque est-il bidirectionnel, ou les CISOs sont-ils généralement plus préoccupés par les communications ou le trafic sortants ?
Alexander: Je pense que c'est un peu des deux, n'est-ce pas ? De nombreux professionnels de la sécurité considèrent cela sous l'angle des flux sortants, de l'utilisation du SaaS [logiciel en tant que service] et des éléments de cette nature. Mais il faut également comprendre ce problème bidirectionnel. Vos employés, s'ils disposent de privilèges d'administration locale sur leurs endpoints, vont installer des applications, je vous le garantis. Car ils perdent de vue que l'appareil qui leur a été provisionné ne leur appartient pas. « C'est mon endpoint. » Mais ce n'est pas votre endpoint. Il est à votre disposition, mais vous n'avez pas le droit d'y installer des applications.
Cela nous ramène à la question que vous avez soulevée : que se passe-t-il lorsque des employés installent</img id="2"> des applications sur leur endpoint ? C'est une situation à haut risque, car rien ne garantit que l'application en question est fiable. Par exemple, avec Apple, vous avez l'App Store, et même Google fait une certaine vérification avec son store, mais Apple, de son côté, effectue un contrôle bien plus rigoureux.
Mais même si vous téléchargez une application depuis l'Apple Store, préalablement vérifiée par Apple, cela ne signifie pas qu'elle est sans risque pour votre entreprise. En tant qu'équipe sécurité, vous n'avez peut-être aucune idée de ce qui est installé, ou si l'application semble légitime, de la façon dont elle est utilisée.
Où sont les données ? Car tout tourne autour de l'emplacement du précieux trésor. Ces données sont-elles stockées dans votre environnement, sur l'endpoint, ou quelque part dans le cloud ? Si elles se trouvent sur l'endpoint, de nombreuses entreprises — je vous l'assure — ne sauvegardent pas ces endpoints, car tout le monde migre vers le cloud. Alors devinez quoi ? Vous vous retrouvez face à un problème de continuité.
Et je suis certain que nous avons tous ces anecdotes où des utilisateurs disent : « J'ai téléchargé tel ou tel logiciel, j'avais toutes ces données sur mon disque dur, mon appareil a rendu l'âme, et maintenant tout a disparu. » Et c'est là que viennent les larmes et la douleur, parce que ce travail a disparu. Et espérons que ce n'est pas critique pour l'activité. Il existe donc toute une série de dangers à cet égard, peu importe où se trouvent les données, tant qu'elles ne sont pas gérées – souvenez-vous de la règle des données non gérées – c'est très dangereux.
Aceves : J'apprécie que vous ayez commencé à aborder la question des risques et le manque de visibilité sur certains aspects. Pouvez-vous me parler de la façon dont vous conseillez vos clients ? Je sais que de nombreux dirigeants écoutent ce podcast, alors comment leur conseilleriez-vous de commencer à avoir une vue d'ensemble de leur exposition aux risques et par où commencer. Ils ont peut-être une certaine visibilité sur ce qui se passe, mais si je suis un nouveau CISO et que j'ai hérité d'une entreprise sujette aux fusions et acquisitions et que je n'ai aucune idée de ce qui se passe, par où commencer ?
Alexander : Peu importe où je commence à travailler, que ce soit sur un projet avec un client ou un nouveau job ou autre, il y a quelques questions que je pose d'emblée, dans le but de définir le périmètre du risque et de l'environnement. Mes premières questions sont : Puis-je voir une carte de topologie ? Quels sont les appareils utilisés ? Et puis, croyez-le ou non, une structure organisationnelle, pour savoir qui tenir responsable. [Elle rit] Je ne devrais pas dire responsable, ce n'est pas le bon terme. [Elle et Stephanie rient.] Mais à qui dois-je m'adresser ? La structure de gouvernance doit refléter la structure organisationnelle. C'est pour cette raison que je demande l'organigramme. Mais sans connaître les paramètres – ce qui relève un peu de l'informatique traditionnelle sur site – ni comprendre l'environnement SaaS, n'est-ce pas ? Tout le monde adopte le cloud natif aujourd'hui, mais il faut partir d'une base solide pour comprendre l'environnement, car sans une vision claire du paysage, il est impossible de le protéger.
La première étape consiste donc à avoir une vue d'ensemble de ce à quoi cela ressemble du point de vue du périmètre. Parle-t-on de serveurs sur site ? Du côté des endpoints, parle-t-on de Windows et de Mac, ou d'iOS ? S'agit-il uniquement de Windows dans un environnement SaaS ? Où se trouvent ces instances autorisées ? Utilisez-vous Microsoft ? Utilisez-vous Paylocity ? Quel est le domaine d'activité de cette entreprise ? C'est donc par là qu'il faut commencer, afin de comprendre et de définir ce profil de risque.
Aceves: Oui, tout à fait. Alors que nous évoquons la façon dont les dirigeants peuvent commencer à maîtriser le sujet, pouvez-vous nous donner un aperçu de ce que vous observez sur le terrain ou au sein des organisations avec lesquelles vous travaillez ?
Alexander: Il arrive souvent qu'une organisation, ou plus précisément son département informatique, ne dispose pas des compétences nécessaires pour assurer, par exemple, la prise en charge des appareils Apple. Mais l'organisation reconnaît également que son équipe marketing ou commerciale a besoin d'iPads, par exemple. Il s'agit donc d'une reconnaissance tacite du fait qu'il s'agit d'un appareil d'entreprise. C'est ce que j'entends par « possédé et pris en charge ». Il existe donc des différences, mais ces appareils sont tous approuvés et relèvent du même périmètre. Tout ce qui se situe en dehors de ce cadre correspond à ce que nous appelons l'informatique fantôme.
Par où commencer pour Discover ce qui est utilisé dans cette informatique fantôme ? Il existe plusieurs approches : celle des incontournables « personnes, processus et technologie ». Il s'agit donc de comprendre ces différents secteurs. Quels endpoints avez-vous là ? Quels serveurs avez-vous ? Disposer d'un inventaire des actifs pour les identifier est essentiel. Et cela inclut même le cloud, qui est bien sûr le plus complexe à gérer.
Aceves: Oui, c'est un point très pertinent. Quelque chose que vous avez dit au début m'est resté en tête – que les employés souhaitent faire ce qui est juste. N'est-ce pas ?
Alexander: Mm-hmm.
Aceves: La plupart du temps, ils cherchent simplement à accomplir leur job et à gagner en efficacité. Et cela soulève une vraie question : si des utilisateurs disposent de privilèges d'administration locaux, comment savoir de quelle façon ils vont en faire usage. L'objectif est de leur interdire d'exposer l'entreprise à des risques supplémentaires, sans pour autant les empêcher de faire leur job. C'est la tension éternelle à laquelle nous faisons face en informatique : comment s'assurer que des politiques sont en place, qu'il s'agisse de politiques humaines ou de technologies concrètes, pour renforcer les systèmes et limiter les risques, sans pour autant entraver le fonctionnement de l'entreprise et sa capacité à mener les activités dont elle a besoin ?
Pouvez-vous nous expliquer comment aider les utilisateurs finaux à comprendre les risques, voire Enforce des politiques autour du shadow IT sans perturber leur quotidien ? Comment les maintenir à la cadence qu'ils souhaitent tout en les accompagnant ?
Alexander : Cela repose sur deux éléments, et le premier est le suivant : toute règle d'or admet une exception. Je pense qu'il faut garder à l'esprit que les contrôles de sécurité, les exigences et les politiques que nous avons mis en place existent pour une raison précise. Cependant, rien n'est absolu. Nous ne pouvons pas nous cantonner au rôle du « département du non ». Cette époque est révolue, n'est-ce pas ’90s ?
Aceves : Tout à fait.
Alexander : Nous devons donc mieux comprendre ce que l'entreprise cherche à accomplir et les défis auxquels elle est confrontée. Donc, lorsque des utilisateurs souhaitent installer ou utiliser une application informatique non approuvée, comme des outils de gestion de projet... qu'il s'agisse de Monday, Asana, Riker ou autre, ma première question est : pourquoi ? Qu'est-ce qui les attire dans cette application ?
Je pense que nous devons prendre du recul et comprendre qu'en tant que professionnels de la sécurité, notre rôle est de soutenir l'entreprise. Nous ne sommes pas là pour jouer les gardiens ou (encore une fois) incarner le département du refus. Nous sommes là pour soutenir l'entreprise. Et comment soutenir l'entreprise sans lui parler ?
Je peux vous assurer que les clients avec lesquels je travaille… Voici une anecdote : j'ai travaillé pour un compte et nous étions rattachés au directeur financier. D'abord, j'ai pris l'habitude d'expliquer les choses en termes métier. C'était un bon exercice. Puis il est venu me voir et m'a dit : « Écoutez, je sais que vous devez aller parler à un tel en R&D, faites-moi part de vos difficultés le cas échéant. Je me suis dit : « C'est une façon un peu étrange de formuler les choses, mais soit, je vous tiendrai au courant. » Je suis donc allé discuter avec le vice-président R&D. Et j'ai abordé la conversation ainsi : « Bien, aidez-moi à comprendre votre activité. Quels sont les défis auxquels vous faites face ? »
En engageant la conversation de cette façon, il est devenu évident que j'étais là pour l'aider dans son activité, et non pour l'en empêcher. Permettez-moi de comprendre votre activité, vos défis, et de vous aider à identifier une solution à la fois sûre et sécurisée. Car encore une fois, les gens veulent faire ce qui est juste. Ils n'ont pas les compétences nécessaires, et ce n'est pas leur rôle, n'est-ce pas ? C'est précisément pour cela que nous sommes là. Alors, quand d'autres professionnels de la sécurité disent qu'ils cherchent à sensibiliser les dirigeants à la sécurité, on est en droit de se demander : mais pourquoi diable feraient-ils cela ? Est-ce que votre directeur financier vient vous voir pour vous dire que vous devez apprendre à faire telle ou telle chose ? Absolument pas. Alors pourquoi leur imposons-nous cela ? Nous les plaçons dans une situation vouée à l'échec.
Je vais donc les voir et je leur dis : écoutez, je mets ces compétences à votre disposition. Laissez-moi travailler avec vous pour trouver comment concrétiser ce projet commercial de façon sûre et sécurisée. Chaque échange que j'ai avec l'entreprise s'inscrit dans cette démarche, et cela établit d'emblée un partenariat et une collaboration pour avancer ensemble.
Cette approche finit par instaurer une relation de confiance. Je suis désormais le cliché incarné : leur conseiller de confiance en matière de sécurité. Et c'est précisément notre rôle. Une fois qu'ils comprennent les risques, en travaillant avec eux pour cerner leur cas d'usage, le processus devient bien plus simple. Dès que je comprends qu'ils ont besoin d'utiliser ce logiciel de gestion de projet, vous savez ce qui se passe ? Nous allons définir les paramètres d'utilisation et l'approuver.
Aceves: Oui, et c'est amusant, j'ai un point de vue assez polarisant sur quelque chose qui, je crois, dérange beaucoup de gens, mais personnellement, je ne crois pas à la discipline, et je vais vous expliquer pourquoi. Je pense que la discipline finit par échouer à un moment ou à un autre. Tant que vous ne faites pas du bon choix le plus facile – un de mes collègues me l'a dit, et c'est devenu une philosophie de vie depuis lors. Tant que vous ne faites pas du bon choix le plus facile, c'est-à-dire la voie de la moindre résistance. Pensez à l'eau qui coule sur une colline. C'est ainsi que l'on instaure un changement durable. Demander aux gens de gravir la colline chaque jour, c'est s'assurer qu'un jour ils se lasseront et abandonneront. Un jour, il y aura d'autres choses à gérer, trop de choses, et le système s'effondrera.
Et si l'on sait quelque chose de la psychologie humaine, c'est que si cela se produit une fois sans conséquence, on se dit que l'on peut continuer ainsi. Et c'est là que l'on commence à dévaler la mauvaise pente.
Je pense donc que vous avez tout à fait raison quand vous dites que nous sommes presque en mode service. Nous sommes des conseillers de confiance, et la sécurité doit être au service de l'entreprise. Il ne s'agit pas de : Faites ces 40 choses pour que nous puissions cocher cette case. Il s'agit de : Comment devez-vous gérer votre partie de l'activité ? Permettez-moi de figure out comment mettre en place les garde-fous adaptés pour que vous puissiez le faire en toute sécurité. J'ai beaucoup travaillé sur la formation et la sensibilisation dans le domaine de la cybersécurité, que ce soit auprès de membres de ma famille ou d'inconnus rencontrés dans des avions, et ils sont fascinés par des choses que nous, dans l'IT, considérons comme normales. [Elle rit.]
Nous le constatons parce que nous évoluons dans ce secteur au quotidien. On me pose sans cesse la question : comment protéger mes informations contre les pirates informatiques ? Eh bien, commençons par les bases, n'est-ce pas ? Commençons par la gestion des mots de passe et tout ce qui en découle. Mais comment amener les choses à un niveau où – j'ai mes parents sur des gestionnaires de mots de passe. Ils ont encore, Dieu les garde, environ trois mots de passe qu'ils réutilisent. Il faut donc que quelque chose soit fait dans le domaine technologique pour attirer et séduire les utilisateurs, afin qu'ils perçoivent la valeur ajoutée, et que cela devienne alors la voie de la moindre résistance. Je pense que la discipline finira par échouer à un moment donné, et l'on court le risque qu'elle s'effondre sur le long terme.
Alexander: Avez-vous déjà essayé de dresser un animal ?
Aceves: Oh, tout à fait.
Alexander: Comme un cheval ou un chien ?
Aceves: Pas un cheval. Un chien, oui.
Alexander: Donc l'encouragement positif est la meilleure approche et la discipline est vouée à l'échec, car ils se retourneront contre vous. Et c'est inadmissible dans une entreprise. On ne peut pas se permettre que l'entreprise se retourne contre vous. En établissant ce lien de confiance, ils viendront vous voir de leur propre initiative. Et c'est déjà arrivé : « Dis donc, Candy, on aimerait faire ça. Qu'est-ce que tu en penses ? » C'est à ce moment-là que vous savez que vous avez réussi.
Aceves: Oui, tout à fait. Eh bien, Candy, merci beaucoup. C'est l'une de mes conversations préférées à ce jour.
Je me suis entretenu avec Candy Alexander, CISO et responsable de la pratique cyber chez NeuEon Inc.
Si vous souhaitez en savoir plus sur le shadow IT et le shadow AI, consultez Focal Point, le magazine d'actualité cyber en ligne de Tanium. Des liens vers des articles pertinents figurent dans les notes de l'émission, et vous pouvez les consulter en visitant tanium.com/p.
Pour découvrir d'autres conversations avec les leaders du monde des affaires et les experts en sécurité, abonnez-vous à Let's Converge sur votre application de podcast préférée et, si cet épisode vous a plu, n'hésitez pas à nous laisser une note de cinq étoiles.
Merci à tous pour votre écoute. Nous avons hâte de partager de nouvelles perspectives en matière de cybersécurité lors du prochain épisode de Let's Converge.
