La plupart des employés ne se lèvent pas le matin en pensant aux politiques de cybersécurité.
Ils pensent surtout à faire leur travail.
Lorsque les outils approuvés semblent trop lents, trop compliqués ou ne sont pas disponibles, les gens cherchent d’autres solutions. Ils téléchargent une application de partage de fichiers, s’inscrivent à une plateforme de gestion de projet, utilisent un outil d’IA gratuit ou créent un compte personnel pour collaborer avec un client.
Le problème, c’est que les équipes des TI et de la sécurité ignorent souvent complètement que ces outils sont utilisés.
C’est ce qu’on appelle les TI fantômes, et il s’agit de l’un des plus grands défis de cybersécurité auxquels les organisations sont confrontées aujourd’hui.
Que sont les TI fantômes?
Les TI fantômes désignent toute application, tout logiciel, service infonuagique, appareil ou toute technologie utilisée au sein d’une organisation sans que les équipes des TI ou de la sécurité en aient connaissance ou aient donné leur approbation.
Parmi les exemples courants, on peut citer :
- Comptes personnels Dropbox ou Google Drive
- Outils d’IA non autorisés
- Logiciel gratuit de gestion de projet
- Applications de partage de fichiers
- Plateformes de messagerie
- Extensions de navigateur
- Appareils personnels utilisés à des fins professionnelles
La plupart de ces outils sont adoptés avec de bonnes intentions. Les employés veulent travailler plus rapidement, mieux collaborer et résoudre des problèmes. Malheureusement, la commodité peut souvent entraîner des risques.
Le problème est plus important que la plupart des organisations ne le réalisent
Les recherches montrent que les TI fantômes ne sont plus un enjeu marginal.
Selon Lansweeper, 67 % des employés des entreprises du Fortune 1000 utilisent des applications SaaS non approuvées, et l’entreprise moyenne compte des centaines de services infonuagiques utilisés sans que les équipes des TI en aient connaissance. De plus, 42 % des applications utilisées en entreprise sont considérées comme des TI fantômes.
Prenez un instant pour y réfléchir.
Si près de la moitié des applications utilisées au sein d’une organisation échappent aux équipes des TI, comment les équipes de sécurité peuvent-elles évaluer adéquatement les risques, surveiller les accès ou assurer la conformité?
Elles ne le peuvent pas.
Les TI fantômes ont évolué vers l’IA fantôme.
L’essor de l’IA générative a créé une nouvelle version du même problème.
Les employés utilisent de plus en plus des outils d’IA sans l’approbation de leur organisation, en y téléversant des documents, des renseignements financiers, des données clients, du code source, des contrats et des communications internes sur des plateformes d’IA publiques.
Des recherches récentes ont révélé que près de 40 % des travailleurs utilisent des outils d’IA non autorisés au travail, et ce pourcentage pourrait être considérablement plus élevé selon le secteur d’activité. Le problème n’est pas l’IA elle-même. C’est plutôt l’absence de gouvernance encadrant la façon dont elle est utilisée.
Pourquoi les TI fantômes représentent un véritable risque pour l’entreprise
Exposition des données
Chaque outil de TI fantôme représente une atteinte potentielle à la triade CIA, les trois principes fondamentaux au cœur de tout programme de sécurité.
- La confidentialité est compromise lorsque des données se retrouvent dans un système sans contrôles d’accès ni chiffrement.
- L’intégrité est compromise lorsqu’il n’existe aucune piste d’audit ni aucun moyen de vérifier si les données ont été modifiées ou consultées.
- La disponibilité est compromise lorsque des renseignements critiques se trouvent à l’extérieur de systèmes qui sont sauvegardés, surveillés ou récupérables.
Les TI fantômes ne menacent généralement pas un seul de ces principes. Elles compromettent les trois à la fois.
Risques liés à la conformité
Que votre organisation soit assujettie à des règlements comme la HIPAA, le RGPD ou la Loi 25 du Québec, ou qu’elle vise des cadres de sécurité tels que ISO 27001 ou SOC 2, l’exigence demeure la même : être en mesure de démontrer où se trouvent vos données, qui peut y accéder et comment elles sont protégées.
Les organismes de réglementation et les auditeurs n’acceptent pas comme défense l’argument selon lequel « nous ne savions pas que ce système existait ».
Augmentation de la surface d’attaque
Chaque application non autorisée crée un point d’entrée potentiel supplémentaire pour les cyberattaquants. Les équipes de sécurité ne peuvent pas protéger des systèmes dont elles ignorent l’existence.
Perte de visibilité
Sans visibilité, les organisations ne peuvent pas gérer efficacement les risques, enquêter sur les incidents ni savoir où se trouvent leurs renseignements critiques. La visibilité n’est pas simplement souhaitable. Elle constitue la base nécessaire à tout le reste.
Pourquoi les employés continuent-ils d’utiliser des outils non autorisés?
De nombreuses organisations considèrent les TI fantômes comme un problème disciplinaire. En réalité, il s’agit plutôt d’un problème lié aux processus d’affaires.
Les employés se tournent généralement vers des outils non autorisés parce que :
- Les outils approuvés sont difficiles à utiliser.
- Les processus d’approvisionnement sont trop lents.
- Les équipes ont besoin de fonctionnalités qui ne sont pas disponibles à l’interne.
- Les outils d’IA améliorent réellement leur productivité.
- Les politiques de sécurité ne sont pas claires.
- Un nouvel outil semble prometteur et un collègue en a parlé.
Ce dernier facteur est le plus difficile à contrer sur le plan technique. Les TI fantômes causées par la friction peuvent être réduites en améliorant les outils approuvés. Les TI fantômes motivées par la curiosité représentent toutefois un tout autre défi : on ne peut pas bloquer la nouveauté.
Ce que vous pouvez faire, c’est rendre le processus approuvé suffisamment rapide et simple pour qu’il puisse rivaliser avec ces solutions.
Comment les organisations devraient-elles réagir?
Les employés trouveront toujours de nouveaux outils. Ce n’est pas là le problème. Le problème survient lorsque ces outils sont invisibles aux personnes responsables de la protection de l’organisation.
Une gouvernance complète signifie que chaque outil est connu, que chaque risque est évalué et que chaque contrôle est mis en place de façon réfléchie. Y parvenir exige une démarche continue, et non une intervention ponctuelle. Tout commence par la visibilité.
Améliorer la visibilité
Vous ne pouvez pas protéger ce que vous ne pouvez pas voir.
La découverte la plus efficace se fait le plus tôt possible, non pas après que des données ont été partagées, mais dès qu’un nouvel outil commence à être adopté. Cela signifie qu’il faut surveiller non seulement le trafic réseau et l’utilisation des applications SaaS, mais aussi les signaux qui apparaissent avant même qu’un outil soit pleinement utilisé : les liens d’inscription, les autorisations OAuth et les processus de création de comptes.
Détecter les TI fantômes dès le stade de l’intention change complètement la façon d’aborder le risque. Mais la visibilité seule ne suffit pas. Les organisations doivent disposer d’un processus d’intervention clairement défini lorsqu’un outil non autorisé est découvert : qui doit être avisé, comment l’accès doit être révoqué et s’il faut récupérer ou supprimer les données.
La visibilité sans processus d’intervention, c’est comme une alarme que personne n’écoute.
Élaborer une politique fondée sur les risques
Effective policy is not a blanket ban. It is a risk-based framework with three tiers:
- Ce qui est permis
- Ce qui nécessite une approbation avant utilisation
- Ce qui est interdit, peu importe l’intention
Cette structure donne aux équipes de sécurité une position défendable et offre aux employés une voie claire à suivre, plutôt qu’une raison de contourner les règles.
Il est essentiel que la politique soit documentée et officiellement reconnue par les employés. L’argument « je ne le savais pas » constitue l’un des principaux obstacles à l’application des règles. Une fois qu’un employé a pris connaissance d’une politique d’utilisation acceptable et l’a acceptée, cet argument ne tient plus. Il ne s’agit pas d’une mesure punitive, mais d’un mécanisme de responsabilisation qui donne tout son sens au reste du programme de gouvernance.
Mettre en place un processus d’évaluation accéléré
Tous les outils fantômes ne sont pas adoptés parce qu’il n’existe aucune solution approuvée. Parfois, c’est simplement parce qu’un nouvel outil semble plus performant, qu’un collègue l’a recommandé ou qu’un employé voulait essayer quelque chose de différent.
La réponse la plus efficace consiste à mettre en place un processus simple qui permet aux employés de demander rapidement l’approbation d’un nouvel outil, selon des critères clairs et avec un délai de réponse court. Lorsque le processus approuvé est plus rapide que le recours aux TI fantômes, la plupart des employés choisiront cette voie.
Toute solution approuvée doit également répondre réellement aux besoins de l’employé. Un outil trop lent ou trop restrictif peut créer un faux sentiment de sécurité, tandis que les TI fantômes continuent d’être utilisées en parallèle.
Former les employés, pas seulement leur présenter les politiques
La formation ne devrait pas se limiter à une présentation ponctuelle des politiques. Elle doit être continue, adaptée aux rôles de chacun et fondée sur des situations concrètes : quelles données ne doivent jamais quitter les systèmes approuvés, quoi faire lorsqu’un collègue partage un nouvel outil intéressant et comment demander son évaluation par le canal approprié.
L’objectif n’est pas de faire peur aux employés face à la technologie. Il s’agit plutôt de leur donner suffisamment de contexte pour qu’ils puissent prendre de meilleures décisions, même lorsque personne ne les surveille.
Mettre en place une gouvernance propre à l’IA
L’IA fantôme n’est pas une menace émergente. Pour la plupart des organisations, elle est déjà bien présente, et l’écart en matière de gouvernance est encore plus important que celui observé avec les TI fantômes. Les outils sont plus puissants, l’exposition des données est plus immédiate et leur adoption s’est faite à une vitesse sans précédent.
La gouvernance de l’IA doit couvrir les mêmes trois niveaux que toute politique de sécurité, avec une attention particulière portée à la classification des données. Toutes les données ne devraient pas pouvoir être traitées par des outils d’IA, et les employés doivent clairement comprendre quelles catégories de données sont interdites, peu importe l’outil utilisé.
La vraie leçon
Les TI fantômes ne sont pas un problème technologique. C’est un problème de visibilité.
Cela révèle les endroits où les besoins de l’entreprise évoluent plus rapidement que les processus de gouvernance.
Les organisations qui se concentrent uniquement sur le blocage des outils continueront de courir après le problème. Celles qui parviennent à le maîtriser considèrent la visibilité comme une fonction opérationnelle, les politiques comme un mécanisme de responsabilisation et les comportements des employés comme quelque chose à encadrer plutôt qu’à réprimer.
Parce que, dans l’environnement actuel, les plus grands risques en matière de cybersécurité ne sont souvent pas cachés aux employés.
Ils sont cachés à l’organisation elle-même.
Sachez ce qui se trouve dans votre environnement
Les TI fantômes sont difficiles à gérer lorsqu’on ne peut pas les voir. Citadelis aide les organisations à améliorer leur visibilité, à renforcer leur gouvernance et à mettre en place des contrôles de sécurité pratiques qui tiennent compte de la façon dont les gens travaillent réellement.
