Shadow IT, repérer et encadrer les outils installés hors de la DSI
Le shadow IT désigne l’ensemble des logiciels, services en ligne et équipements utilisés dans l’entreprise sans que la direction informatique les ait choisis, validés ou même identifiés. Un tableur partagé sur un service gratuit, une application de transfert de fichiers volumineux, un outil d’intelligence artificielle générative alimenté avec des documents internes, un abonnement à une plateforme de gestion de projet payé par la carte d’un service : chacun de ces usages paraît anodin isolément. Mis bout à bout, ils dessinent un système d’information parallèle que personne ne pilote. La réponse efficace n’est ni l’interdiction générale ni l’indifférence, mais un encadrement qui rend le circuit officiel plus attractif que le contournement.
Pourquoi les métiers contournent la DSI
Le shadow IT n’est presque jamais un acte de malveillance. Il naît d’un besoin réel auquel l’organisation ne répond pas assez vite. Une équipe commerciale veut un outil de signature électronique afin de signer un contrat avant la fin du trimestre, un service marketing a besoin d’un logiciel de conception graphique que le catalogue interne ne propose pas, un chef de projet cherche un moyen simple de partager des fichiers avec un partenaire. Si la demande officielle prend plusieurs semaines, la tentation de souscrire soi-même un abonnement en ligne devient forte.
Trois facteurs ont rendu ce phénomène massif. La généralisation des services en ligne vendus par abonnement a fait disparaître la barrière de l’installation : il suffit d’une adresse électronique et d’une carte bancaire. Le travail à distance a multiplié les usages hors du réseau de l’entreprise. Enfin, l’arrivée des outils d’intelligence artificielle générative grand public a créé une vague de nouveaux usages, souvent adoptés par curiosité avant toute réflexion sur les données transmises.
Il faut aussi regarder la part de responsabilité de la DSI elle-même. Un catalogue d’applications vieillissant, des processus de validation opaques, des délais de livraison longs et une communication perçue comme une suite d’interdits poussent les utilisateurs vers des solutions de contournement. Le shadow IT est souvent un indicateur de friction : il signale les endroits où l’offre interne ne correspond pas aux besoins.
Les risques : fuite, conformité et coûts cachés
Le premier risque est la fuite de données. Un service en ligne non référencé échappe aux contrôles habituels : on ne sait pas où les données sont hébergées, qui y a accès, si le compte est protégé par une authentification forte, ni ce qu’il advient des fichiers quand le salarié quitte l’entreprise. Un compte personnel utilisé pour stocker des documents professionnels reste accessible à son titulaire après son départ.
Le deuxième risque touche la conformité. Le RGPD impose à l’entreprise de tenir un registre des traitements de données personnelles, d’encadrer par contrat les sous-traitants qui traitent ces données et de vérifier les conditions des transferts hors de l’Union européenne. Un outil adopté en dehors de la DSI échappe à ces obligations, et l’entreprise reste pourtant responsable du traitement. La directive européenne NIS 2, adoptée en 2022 et dont la loi de transposition française était encore en discussion au Parlement à l’automne 2026, bien après l’échéance d’octobre 2024, étend par ailleurs les exigences de gestion des risques cyber à un nombre beaucoup plus large d’entités, y compris sur la maîtrise de la chaîne d’approvisionnement numérique.
Le troisième risque concerne la sécurité opérationnelle. Les outils non gérés ne reçoivent pas forcément les mises à jour, ne sont pas couverts par la supervision et ne figurent pas dans les plans de reprise. En cas d’incident, l’équipe de sécurité ne sait même pas qu’ils existent. Un compte compromis sur un service obscur peut devenir le point d’entrée d’une attaque plus large, notamment lorsque les mêmes identifiants sont réutilisés ailleurs.
Viennent enfin les coûts cachés. Plusieurs équipes paient séparément des abonnements au même service, souvent au tarif individuel plutôt qu’au tarif entreprise. Les données se dispersent entre des outils qui ne communiquent pas, ce qui dégrade leur qualité et multiplie les ressaisies.
| Type d’usage non validé | Risque principal | Réponse adaptée |
|---|---|---|
| Stockage et partage de fichiers | Fuite de documents, accès après départ | Offre officielle simple, partage externe encadré |
| Outils d’IA générative | Transmission de données confidentielles | Charte d’usage, outil validé avec garanties contractuelles |
| Logiciels métiers par abonnement | Données personnelles hors registre | Procédure de référencement rapide |
| Extensions de navigateur | Lecture du contenu des pages | Liste d’extensions autorisées |
| Messageries personnelles | Échanges hors archivage | Outil collaboratif officiel adopté par la direction |
Repérer le shadow IT : outils et méthodes de découverte
On ne peut encadrer que ce que l’on voit. La découverte combine plusieurs sources, aucune n’étant suffisante seule.
Les sources techniques
Les journaux du proxy, du pare-feu et des serveurs de noms révèlent les services en ligne contactés depuis le réseau de l’entreprise. Leur analyse permet de dresser une première liste des applications utilisées et de leur volume de trafic. Les solutions de type courtier de sécurité d’accès au cloud, souvent désignées par le sigle anglais CASB, automatisent ce travail : elles classent les services détectés, évaluent leur niveau de risque et peuvent appliquer des politiques d’accès. Les outils de gestion des postes de travail recensent quant à eux les logiciels installés localement et les extensions de navigateur.
Le fournisseur d’identité de l’entreprise est une autre source précieuse. Lorsqu’un salarié se connecte à un service tiers avec son compte professionnel, ce consentement laisse une trace. L’examen régulier des autorisations accordées à des applications tierces fait souvent apparaître des outils inconnus qui disposent d’un accès étendu à la messagerie ou aux documents.
Les sources financières et humaines
Les notes de frais et les relevés des cartes d’achat signalent les abonnements souscrits hors procédure. Un rapprochement trimestriel avec la comptabilité donne une vision que les outils techniques ne fournissent pas, en particulier pour les services utilisés depuis l’extérieur du réseau.
Le dialogue reste la méthode la plus sous-estimée. Un questionnaire simple, une permanence de la DSI auprès des métiers ou une amnistie déclarative, qui invite les équipes à signaler leurs outils sans crainte de sanction, révèlent des usages qu’aucun journal ne capte. Cette démarche a l’avantage de transformer la découverte en discussion sur les besoins.
Une politique d’encadrement qui ne bloque pas l’innovation
L’objectif n’est pas de supprimer tous les outils découverts, mais de les classer et de traiter chaque catégorie de manière proportionnée. Une grille simple suffit à démarrer : les outils à adopter officiellement, ceux à tolérer sous conditions, ceux à remplacer par une solution existante et ceux à interdire parce que le risque est inacceptable.
Un circuit de validation rapide
La mesure la plus efficace contre le shadow IT est un circuit de référencement court. Un formulaire unique, une évaluation de sécurité et de conformité proportionnée au niveau de risque, un délai de réponse annoncé et tenu : quand le chemin officiel prend quelques jours au lieu de plusieurs semaines, l’intérêt du contournement diminue nettement. Pour les outils à faible risque, ceux qui ne traitent pas de données sensibles, une validation allégée peut suffire.
Un catalogue vivant
Le catalogue des applications autorisées doit être visible, régulièrement mis à jour et présenté comme un service. Il indique pour chaque outil son usage recommandé, le niveau de données qu’il peut traiter et la manière d’y accéder. Une expérience utilisateur soignée, avec accès par authentification unique et provisionnement automatique des comptes, rend l’outil officiel plus simple que l’outil personnel.
Des règles claires sur les données
Une charte courte, compréhensible sans formation juridique, précise quelles catégories de données ne doivent jamais sortir des outils validés : données personnelles de clients, informations financières non publiées, secrets industriels, données couvertes par un engagement de confidentialité. Les outils d’IA générative méritent une règle spécifique, puisque le texte saisi peut être conservé par le fournisseur selon les conditions du service.
Des contrôles techniques ciblés
Le blocage reste utile pour les services manifestement dangereux ou incompatibles avec les obligations de l’entreprise. Il doit cependant être ciblé et expliqué : un blocage massif et non motivé déplace simplement les usages vers les téléphones personnels, hors de toute visibilité. La gestion des identités joue ici un rôle central, avec l’authentification forte, la revue périodique des accès et la désactivation rapide des comptes au départ d’un salarié.
La question du shadow IT rejoint celle de l’hébergement des données sensibles. Un outil découvert et jugé utile doit être évalué sur les mêmes critères que n’importe quel fournisseur, localisation, contrôle juridique, réversibilité, détaillés dans notre article sur les critères d’un cloud souverain. Elle rejoint aussi la préparation aux incidents : un service non référencé est un angle mort dans un plan de reprise, comme le montre notre dossier sur la préparation à un ransomware. Dans les environnements industriels, les capteurs et passerelles installés par les équipes de production sans passer par l’informatique posent un problème du même ordre, abordé dans notre article sur l’innovation IoT à l’usine.
Mesurer les progrès
Une politique de shadow IT se pilote avec quelques indicateurs simples : nombre d’applications découvertes et part de celles qui ont été classées, délai moyen de traitement d’une demande de référencement, nombre d’abonnements consolidés, part des services accessibles par authentification unique. Ces chiffres n’ont de sens qu’en tendance, et leur présentation au comité de direction montre que la DSI traite le sujet comme un levier d’efficacité plutôt que comme une chasse aux fautifs.
L’ANSSI publie des guides d’hygiène informatique et de maîtrise des risques numériques qui constituent une base publique solide pour structurer cette démarche. Le shadow IT ne disparaîtra jamais complètement, et ce n’est pas l’objectif. Une direction informatique qui le connaît, le mesure et en tire des enseignements sur les besoins des métiers transforme un risque diffus en source d’amélioration de son offre de services.