Shadow IT : mesurer avant d’interdire

Le shadow IT n’est presque jamais un acte de désobéissance. C’est un salarié qui a un besoin, une solution officielle absente ou trop lente, et un outil gratuit à portée de navigateur.

Traiter le symptôme sans la cause déplace le problème hors de votre vue.

À quoi ça ressemble concrètement

• Un service de partage de fichiers personnel pour envoyer un document trop volumineux.
• Un outil de gestion de projet souscrit par une équipe avec une carte bancaire.
• Une extension de navigateur qui « améliore » une application métier — et transmet le contenu affiché à un tiers.
• Un assistant conversationnel grand public utilisé sur des documents internes — voir comment les données sortent.
• Un compte personnel utilisé pour un usage professionnel, hors de tout contrôle à la sortie du salarié.

Pourquoi l’interdiction seule échoue

Le besoin ne disparaît pas avec la règle. Il se déplace vers des canaux moins visibles : téléphone personnel, messagerie privée, poste hors du domaine.

Vous obtenez alors le pire des deux mondes : une politique affichée, une conformité déclarée, et une exposition réelle que vous ne mesurez plus.

Même mécanisme que pour les accès distants : quand la voie conforme est trop lente, une autre voie apparaît.

Étape 1 — Mesurer

Avant toute politique, un constat chiffré. Plusieurs sources donnent une image utilisable :

• Les journaux DNS et de proxy : quels services externes sont réellement sollicités, par combien de postes.
• Les notes de frais : les abonnements souscrits par les équipes y apparaissent.
• Les connexions par identité d’entreprise à des services tiers.
• Les extensions installées sur les navigateurs du parc.

Un chiffre — « 340 postes utilisent trois services de partage non validés » — est ce qui débloque un arbitrage. Une inquiétude générale ne le fait pas, comme pour tout budget sécurité.

Étape 2 — Comprendre le besoin

Chaque outil non validé répond à un manque. Un service de partage externe signale que votre solution interne limite trop la taille des fichiers ou n’est pas utilisable avec l’extérieur.

Interdire sans traiter ce manque garantit le retour du problème sous une autre forme, dans six mois.

Étape 3 — Trier plutôt que bloquer en masse

Trois catégories, trois traitements :

À intégrer. L’outil répond à un vrai besoin, le risque est acceptable. On le valide, on l’encadre — authentification d’entreprise, contrat, encadrement contractuel au titre de la sous-traitance.

À remplacer. Le besoin est légitime, l’outil inacceptable. On fournit une alternative, puis on bloque. Dans cet ordre — l’inverse ne fonctionne pas.

À bloquer. Ni besoin légitime, ni risque acceptable. Blocage assumé et expliqué.

Étape 4 — Rendre la voie officielle rapide

C’est la mesure structurante et la plus négligée. Si valider un nouvel outil prend quatre mois, personne ne demandera.

Un processus court — quelques questions, réponse sous deux semaines, décision motivée — fait plus contre le shadow IT que n’importe quel filtrage. Il transforme aussi les équipes en source de renseignement sur leurs propres besoins.

Ce que disent les référentiels

ISO/IEC 27002:2022 traite le sujet par 5.9 (inventaire des actifs), 5.10 (utilisation acceptable), 5.23 (services en nuage) et 8.19 (installation de logiciels).

Un auditeur ne demandera pas l’absence de shadow IT — il demandera comment vous le détectez et le traitez. Une organisation qui mesure, trie et documente ses arbitrages est conforme. Une organisation qui déclare « c’est interdit » sans mesure ne l’est pas.

Le cas du départ de salarié

Un point souvent oublié : les données stockées dans un service souscrit à titre personnel ne reviennent pas à l’entreprise au départ du salarié. Elles ne sont ni récupérables, ni effaçables, ni opposables.

C’est un risque de disponibilité autant que de confidentialité, et il relève directement de l’article 32 du RGPD.

Sources

• ISO/IEC 27002:2022, mesures 5.9, 5.10, 5.23 et 8.19
• Règlement (UE) 2016/679 (RGPD), articles 28 et 32
• CNIL — encadrement des outils et sous-traitance

Aller plus loin

La mesure et le cadrage relèvent de l’audit 360 et de la gouvernance, risques et conformité.