Dans chaque entreprise, des services cloud jamais approuvés sont utilisés. Le réflexe habituel est l'interdiction, mais elle ne traite qu'un symptôme : la tâche pour laquelle le service était utilisé subsiste. Shadow IT Findings rend visibles les services non autorisés réellement utilisés. Cette visibilité se transforme en une décision fondée sur le risque plutôt que sur l'intuition : ce qui est sans danger, ce qui doit être remplacé, et où il manque tout simplement un outil approuvé.
Pourquoi le shadow IT apparaît
Un collaborateur doit envoyer un gros fichier à un client. Le canal approuvé a une limite de taille insuffisante. Il utilise un service d'hébergement de fichiers qu'il connaît à titre privé, et l'affaire est réglée en deux minutes.
De son point de vue, il a résolu un problème. Du point de vue de la sécurité informatique, un document de l'entreprise vient de transiter par un service dont personne ne sait rien : ni où se trouvent les données, ni leur durée de conservation, ni les droits d'accès.
Les deux points de vue sont légitimes, et c'est précisément là que réside la difficulté. Une simple interdiction supprime le service, pas la tâche. Le prochain gros fichier devra tout de même être envoyé.
La visibilité avant l'évaluation
Avant de pouvoir décider, il faut savoir de quoi il s'agit. Shadow IT Findings rend visibles les services cloud non autorisés réellement utilisés dans l'environnement.
Le premier regard sur une telle liste surprend la plupart des organisations. Pas à cause de découvertes spectaculaires isolées, mais en raison du nombre d'outils inoffensifs accumulés au fil des années, et des quelques-uns dont on sait immédiatement qu'ils ne peuvent pas rester en l'état.
De l'interdiction à la décision fondée sur le risque
Avec la visibilité, la nature de la décision change. Au lieu d'une règle générale, une classification par risque se met en place : quel service traite quel type de données, où se trouvent-elles, quelle serait la gravité d'une fuite.
Trois groupes en résultent en pratique. Les services sans danger, qui peuvent être approuvés. Les services pour lesquels il existe une alternative approuvée adaptée, vers laquelle on redirige l'usage. Et les services qui ne sont ni l'un ni l'autre et qu'il convient réellement de bloquer.
Le troisième groupe est généralement le plus petit. Le véritable gain se trouve dans les deux premiers : ils créent de la clarté sans bloquer le travail.
Ce que les chiffres révèlent sur votre propre IT
Une liste des services utilisés est aussi un retour d'information pour l'organisation elle-même. Quand trois cents personnes utilisent le même service non autorisé, ce n'est pas une collection d'infractions individuelles, mais le signe d'un besoin non satisfait.
Ce regard vaut la peine avant même de rédiger la liste de blocage. Il transforme une mesure de contrôle en un enseignement sur ce qui manque au quotidien.
Le chemin vers l'approbation
Là où un service doit être approuvé, un processus ordonné aide davantage qu'un e-mail au cas par cas. Une demande qui arrive déjà côté sécurité avec une classification du risque et le contexte d'utilisation peut être tranchée de façon traçable et justifiée ultérieurement.
La découverte ne se transforme ainsi pas seulement en un blocage, mais en un ensemble de décisions prises consciemment, que l'on peut expliquer lors d'un entretien d'audit.
Quand beaucoup de personnes utilisent le même service non autorisé, ce n'est pas un problème de discipline. C'est un besoin que personne n'a encore satisfait.
Le chemin vers l'approbation passe par le navigateur
La visibilité seule ne change pas le comportement. Quiconque a besoin d'un service et ne trouve pas de chemin ordonné vers l'approbation l'utilise quand même. C'est pourquoi la demande se trouve là où naît la décision : dans le navigateur, au moment de l'accès.
L'extension de navigateur CentaurNexusPlugin affiche le niveau de risque d'une adresse et permet aux utilisateurs de déclencher directement une demande d'approbation, pour une URL, une application cloud, une application interne ou une policy. Le côté sécurité reçoit la demande déjà enrichie et décide, au lieu de devoir rechercher.
Ainsi se referme la boucle de cet article : voir d'abord quels services sont utilisés, puis proposer un chemin plus rapide que le détour. Une interdiction supprime un service. Un bon processus d'approbation supprime la raison du suivant.
Questions fréquentes
Qu'est-ce que le shadow IT ?
L'utilisation de logiciels ou de services cloud sans approbation de l'IT. Cela ne provient généralement pas d'un acte de défi, mais du fait qu'une tâche doit être accomplie et que le canal approuvé ne convient pas.
Que montre Shadow IT Findings ?
Quels services cloud non autorisés sont réellement utilisés dans l'environnement. Cette visibilité est la condition préalable à toute décision sensée à leur sujet.
Une interdiction n'est-elle pas la voie la plus simple ?
Une interdiction supprime le service, pas la tâche pour laquelle il était utilisé. Sans alternative approuvée, cela ne produit généralement que le prochain service non autorisé.
Que signifie approuver sur une base de risque ?
La décision se fonde sur les données que traite le service, où elles se trouvent et la gravité que représenterait une fuite, plutôt que sur une règle générale valable pour tous les services.
Cela aide-t-il pour les obligations de justification ?
Oui. Un ensemble de décisions prises consciemment et justifiées peut s'expliquer lors d'un entretien d'audit. Une collection accumulée de services utilisés sans être remarqués, non.
Dois-je installer quelque chose pour que Shadow IT Findings fonctionne ?
Pas pour la visibilité elle-même. Pour le chemin d'approbation, il existe en complément l'extension de navigateur CentaurNexusPlugin : elle affiche le niveau de risque d'une adresse directement dans le navigateur et permet aux utilisateurs de déclencher immédiatement une demande d'approbation.
Le constat montre-t-il aussi combien de personnes utilisent un service donné ?
Oui, ce contexte fait partie de la visibilité. Si un groupe plus large utilise le même service non autorisé, ce n'est pas le signe de nombreuses infractions individuelles, mais d'un besoin qu'aucun outil approuvé n'a comblé jusqu'ici.
Sources
Voir le déroulement dans son contexte
Choisissez le rôle correspondant dans le lanceur de démo. La démo utilise des données d'exemple préparées.
Ouvrir le lanceur de démo