édito Dans l’ombre Même si on ne l’appelait pas encore shadow IT, l’utilisation par les collaborateurs d’une entreprise de ressources IT non validées par la DSI a toujours existé. D’ailleurs, elle ne concernait du shadow IT pas que les logiciels : il suffit de rapporter des fichiers professionnels chez soi par le biais d’une clé USB pour figurer au tableau des comportements habituels, alors qu’il représente un risque potentiel. Avec le cloud, cette tendance est devenue un phénomène de masse, le fameux shadow IT (ou rogue IT). Une récente étude menée par le Cesin (Club des experts de la sécurité de l’information et du numérique) et l’éditeur Kaspersky Lab donne la mesure de ce phénomène. En moyenne, une entreprise reconnaît et valide entre 30 et 40 applications cloud. Or, le rapport indique qu’en réalité, ce sont plus de 1 700 applications et services cloud, en moyenne là aussi, qu’utilisent les employés. Parmi elles, on trouvera des services tolérés tacitement comme Facebook, Twitter ou les moteurs de recherche de type Google. Mais cela devient plus dangereux quand on retrouve dans la liste des Dropbox, Google Drive ou autres services de stockage dans le cloud, signes que des fichiers de l’entreprise transitent dans des sphères où la protection et la sécurité ne sont pas contrôlées en interne. Plus étonnant encore, Workplace by Facebook est massivement utilisé en tant que réseau social d’entreprise au sein de sociétés qui ne l’ont pas validé, créant une sorte de réseau dans le réseau. Il serait vain de combattre le shadow IT en cadenassant tous les accès à ces services. Éduquer les utilisateurs aux risques encourus est nécessaire mais pas encore suffisant. Il faut pour les entreprises trouver un compromis en autorisant tout ou partie de ces applications mais dans un cadre au minimum contrôlé et avec des garde-fous. Il faut, par exemple, Vincent Verhaeghe empêcher ces applications d’accéder à des données internes, ce qui est possible au travers rédacteur en chef de microservices de protection ou par encryptage. Des éléments pas forcément simples à mettre verhaeghe@edi-mag.fr en oeuvre mais qui se révèlent i ndispensables. mai 2018 | E.D.I N°78 5