{"id":1535,"date":"2026-08-21T19:51:07","date_gmt":"2026-08-21T19:51:07","guid":{"rendered":"https:\/\/citadelis.com\/ti-fantome\/"},"modified":"2026-10-07T15:20:14","modified_gmt":"2026-10-07T15:20:14","slug":"ti-fantome","status":"publish","type":"post","link":"https:\/\/citadelis.com\/fr\/ti-fantome\/","title":{"rendered":"TI fant\u00f4me"},"content":{"rendered":"
<\/div>
<\/div>
[vc_custom_heading text=\u00a0\u00bbTI fant\u00f4me\u00a0\u00bb font_container=\u00a0\u00bbtag:h1|text_align:left\u00a0\u00bb css=\u00a0\u00bb%7B%22default%22%3A%7B%22color%22%3A%22_header_middle_bg%22%2C%22font-family%22%3A%22h1%22%7D%7D\u00a0\u00bb]
Dylan Pinsonneault<\/a><\/div><\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/section>
[vc_custom_heading text=\u00a0\u00bbTI fant\u00f4me : le risque de cybers\u00e9curit\u00e9 que la plupart des organisations cr\u00e9ent elles-m\u00eames\u00a0\u00bb css=\u00a0\u00bb%7B%22default%22%3A%7B%22font-family%22%3A%22h1%22%7D%7D\u00a0\u00bb]
<\/div>

La plupart des employ\u00e9s ne se l\u00e8vent pas le matin en pensant aux politiques de cybers\u00e9curit\u00e9.<\/p>\n

Ils pensent surtout \u00e0 faire leur travail.<\/p>\n

Lorsque les outils approuv\u00e9s semblent trop lents, trop compliqu\u00e9s ou ne sont pas disponibles, les gens cherchent d\u2019autres solutions. Ils t\u00e9l\u00e9chargent une application de partage de fichiers, s\u2019inscrivent \u00e0 une plateforme de gestion de projet, utilisent un outil d\u2019IA gratuit ou cr\u00e9ent un compte personnel pour collaborer avec un client. <\/p>\n

Le probl\u00e8me, c\u2019est que les \u00e9quipes des TI et de la s\u00e9curit\u00e9 ignorent souvent compl\u00e8tement que ces outils sont utilis\u00e9s.<\/p>\n

C\u2019est ce qu\u2019on appelle les TI fant\u00f4mes, et il s\u2019agit de l\u2019un des plus grands d\u00e9fis de cybers\u00e9curit\u00e9 auxquels les organisations sont confront\u00e9es aujourd\u2019hui.<\/p>\n

Que sont les TI fant\u00f4mes?<\/strong><\/h2>\n

Les TI fant\u00f4mes d\u00e9signent toute application, tout logiciel, service infonuagique, appareil ou toute technologie utilis\u00e9e au sein d\u2019une organisation sans que les \u00e9quipes des TI ou de la s\u00e9curit\u00e9 en aient connaissance ou aient donn\u00e9 leur approbation.<\/p>\n

Parmi les exemples courants, on peut citer :<\/p>\n

    \n
  • Comptes personnels Dropbox ou Google Drive<\/li>\n
  • Outils d\u2019IA non autoris\u00e9s<\/li>\n
  • Logiciel gratuit de gestion de projet<\/li>\n
  • Applications de partage de fichiers<\/li>\n
  • Plateformes de messagerie<\/li>\n
  • Extensions de navigateur<\/li>\n
  • Appareils personnels utilis\u00e9s \u00e0 des fins professionnelles<\/li>\n<\/ul>\n

     <\/p>\n

    La plupart de ces outils sont adopt\u00e9s avec de bonnes intentions. Les employ\u00e9s veulent travailler plus rapidement, mieux collaborer et r\u00e9soudre des probl\u00e8mes. Malheureusement, la commodit\u00e9 peut souvent entra\u00eener des risques. <\/p>\n

    Le probl\u00e8me est plus important que la plupart des organisations ne le r\u00e9alisent<\/strong><\/h2>\n

    Les recherches montrent que les TI fant\u00f4mes ne sont plus un enjeu marginal.<\/p>\n

    Selon Lansweeper, 67 % des employ\u00e9s des entreprises du Fortune 1000 utilisent des applications SaaS non approuv\u00e9es, et l\u2019entreprise moyenne compte des centaines de services infonuagiques utilis\u00e9s sans que les \u00e9quipes des TI en aient connaissance. De plus, 42 % des applications utilis\u00e9es en entreprise sont consid\u00e9r\u00e9es comme des TI fant\u00f4mes. <\/p>\n

    Prenez un instant pour y r\u00e9fl\u00e9chir.<\/p>\n

    Si pr\u00e8s de la moiti\u00e9 des applications utilis\u00e9es au sein d\u2019une organisation \u00e9chappent aux \u00e9quipes des TI, comment les \u00e9quipes de s\u00e9curit\u00e9 peuvent-elles \u00e9valuer ad\u00e9quatement les risques, surveiller les acc\u00e8s ou assurer la conformit\u00e9?<\/p>\n

    Elles ne le peuvent pas.<\/p>\n

    Les TI fant\u00f4mes ont \u00e9volu\u00e9 vers l\u2019IA fant\u00f4me.<\/strong><\/h2>\n

    L\u2019essor de l\u2019IA g\u00e9n\u00e9rative a cr\u00e9\u00e9 une nouvelle version du m\u00eame probl\u00e8me.<\/p>\n

    Les employ\u00e9s utilisent de plus en plus des outils d\u2019IA sans l\u2019approbation de leur organisation, en y t\u00e9l\u00e9versant des documents, des renseignements financiers, des donn\u00e9es clients, du code source, des contrats et des communications internes sur des plateformes d\u2019IA publiques.<\/p>\n

    Des recherches r\u00e9centes ont r\u00e9v\u00e9l\u00e9 que pr\u00e8s de 40 % des travailleurs utilisent des outils d\u2019IA non autoris\u00e9s au travail, et ce pourcentage pourrait \u00eatre consid\u00e9rablement plus \u00e9lev\u00e9 selon le secteur d\u2019activit\u00e9. Le probl\u00e8me n\u2019est pas l\u2019IA elle-m\u00eame. C\u2019est plut\u00f4t l\u2019absence de gouvernance encadrant la fa\u00e7on dont elle est utilis\u00e9e. <\/p>\n

    Pourquoi les TI fant\u00f4mes repr\u00e9sentent un v\u00e9ritable risque pour l\u2019entreprise<\/strong><\/h2>\n

    Exposition des donn\u00e9es<\/strong><\/h3>\n

    Chaque outil de TI fant\u00f4me repr\u00e9sente une atteinte potentielle \u00e0 la triade CIA, les trois principes fondamentaux au c\u0153ur de tout programme de s\u00e9curit\u00e9.<\/p>\n

      \n
    • La confidentialit\u00e9 est compromise lorsque des donn\u00e9es se retrouvent dans un syst\u00e8me sans contr\u00f4les d\u2019acc\u00e8s ni chiffrement.<\/li>\n
    • L\u2019int\u00e9grit\u00e9 est compromise lorsqu\u2019il n\u2019existe aucune piste d\u2019audit ni aucun moyen de v\u00e9rifier si les donn\u00e9es ont \u00e9t\u00e9 modifi\u00e9es ou consult\u00e9es.<\/li>\n
    • La disponibilit\u00e9 est compromise lorsque des renseignements critiques se trouvent \u00e0 l\u2019ext\u00e9rieur de syst\u00e8mes qui sont sauvegard\u00e9s, surveill\u00e9s ou r\u00e9cup\u00e9rables.<\/li>\n<\/ul>\n

      Les TI fant\u00f4mes ne menacent g\u00e9n\u00e9ralement pas un seul de ces principes. Elles compromettent les trois \u00e0 la fois. <\/strong><\/p>\n

      Risques li\u00e9s \u00e0 la conformit\u00e9<\/strong><\/h3>\n

      Que votre organisation soit assujettie \u00e0 des r\u00e8glements comme la HIPAA, le RGPD ou la Loi 25 du Qu\u00e9bec, ou qu\u2019elle vise des cadres de s\u00e9curit\u00e9 tels que ISO 27001 ou SOC 2, l\u2019exigence demeure la m\u00eame : \u00eatre en mesure de d\u00e9montrer o\u00f9 se trouvent vos donn\u00e9es, qui peut y acc\u00e9der et comment elles sont prot\u00e9g\u00e9es.<\/p>\n

      Les organismes de r\u00e9glementation et les auditeurs n\u2019acceptent pas comme d\u00e9fense l\u2019argument selon lequel \u00ab nous ne savions pas que ce syst\u00e8me existait \u00bb.<\/p>\n

      Augmentation de la surface d\u2019attaque<\/strong><\/h3>\n

      Chaque application non autoris\u00e9e cr\u00e9e un point d\u2019entr\u00e9e potentiel suppl\u00e9mentaire pour les cyberattaquants. Les \u00e9quipes de s\u00e9curit\u00e9 ne peuvent pas prot\u00e9ger des syst\u00e8mes dont elles ignorent l\u2019existence. <\/p>\n

      Perte de visibilit\u00e9<\/strong><\/h3>\n

      Sans visibilit\u00e9, les organisations ne peuvent pas g\u00e9rer efficacement les risques, enqu\u00eater sur les incidents ni savoir o\u00f9 se trouvent leurs renseignements critiques. La visibilit\u00e9 n\u2019est pas simplement souhaitable. Elle constitue la base n\u00e9cessaire \u00e0 tout le reste. <\/p>\n

      Pourquoi les employ\u00e9s continuent-ils d\u2019utiliser des outils non autoris\u00e9s?<\/strong><\/h2>\n

      De nombreuses organisations consid\u00e8rent les TI fant\u00f4mes comme un probl\u00e8me disciplinaire. En r\u00e9alit\u00e9, il s\u2019agit plut\u00f4t d\u2019un probl\u00e8me li\u00e9 aux processus d\u2019affaires. <\/p>\n

      Les employ\u00e9s se tournent g\u00e9n\u00e9ralement vers des outils non autoris\u00e9s parce que :<\/p>\n

        \n
      • Les outils approuv\u00e9s sont difficiles \u00e0 utiliser.<\/li>\n
      • Les processus d\u2019approvisionnement sont trop lents.<\/li>\n
      • Les \u00e9quipes ont besoin de fonctionnalit\u00e9s qui ne sont pas disponibles \u00e0 l\u2019interne.<\/li>\n
      • Les outils d\u2019IA am\u00e9liorent r\u00e9ellement leur productivit\u00e9.<\/li>\n
      • Les politiques de s\u00e9curit\u00e9 ne sont pas claires.<\/li>\n
      • Un nouvel outil semble prometteur et un coll\u00e8gue en a parl\u00e9.<\/li>\n<\/ul>\n

        Ce dernier facteur est le plus difficile \u00e0 contrer sur le plan technique. Les TI fant\u00f4mes caus\u00e9es par la friction peuvent \u00eatre r\u00e9duites en am\u00e9liorant les outils approuv\u00e9s. Les TI fant\u00f4mes motiv\u00e9es par la curiosit\u00e9 repr\u00e9sentent toutefois un tout autre d\u00e9fi : on ne peut pas bloquer la nouveaut\u00e9. <\/p>\n

        Ce que vous pouvez faire, c\u2019est rendre le processus approuv\u00e9 suffisamment rapide et simple pour qu\u2019il puisse rivaliser avec ces solutions.<\/p>\n

        Comment les organisations devraient-elles r\u00e9agir?<\/strong><\/h2>\n

        Les employ\u00e9s trouveront toujours de nouveaux outils. Ce n\u2019est pas l\u00e0 le probl\u00e8me. Le probl\u00e8me survient lorsque ces outils sont invisibles aux personnes responsables de la protection de l\u2019organisation. <\/p>\n

        Une gouvernance compl\u00e8te signifie que chaque outil est connu, que chaque risque est \u00e9valu\u00e9 et que chaque contr\u00f4le est mis en place de fa\u00e7on r\u00e9fl\u00e9chie. Y parvenir exige une d\u00e9marche continue, et non une intervention ponctuelle. Tout commence par la visibilit\u00e9. <\/p>\n

        Am\u00e9liorer la visibilit\u00e9<\/strong><\/h3>\n

        Vous ne pouvez pas prot\u00e9ger ce que vous ne pouvez pas voir.<\/p>\n

        La d\u00e9couverte la plus efficace se fait le plus t\u00f4t possible, non pas apr\u00e8s que des donn\u00e9es ont \u00e9t\u00e9 partag\u00e9es, mais d\u00e8s qu\u2019un nouvel outil commence \u00e0 \u00eatre adopt\u00e9. Cela signifie qu\u2019il faut surveiller non seulement le trafic r\u00e9seau et l\u2019utilisation des applications SaaS, mais aussi les signaux qui apparaissent avant m\u00eame qu\u2019un outil soit pleinement utilis\u00e9 : les liens d\u2019inscription, les autorisations OAuth et les processus de cr\u00e9ation de comptes. <\/p>\n

        D\u00e9tecter les TI fant\u00f4mes d\u00e8s le stade de l\u2019intention change compl\u00e8tement la fa\u00e7on d\u2019aborder le risque. Mais la visibilit\u00e9 seule ne suffit pas. Les organisations doivent disposer d\u2019un processus d\u2019intervention clairement d\u00e9fini lorsqu\u2019un outil non autoris\u00e9 est d\u00e9couvert : qui doit \u00eatre avis\u00e9, comment l\u2019acc\u00e8s doit \u00eatre r\u00e9voqu\u00e9 et s\u2019il faut r\u00e9cup\u00e9rer ou supprimer les donn\u00e9es. <\/p>\n

        La visibilit\u00e9 sans processus d\u2019intervention, c\u2019est comme une alarme que personne n\u2019\u00e9coute.<\/strong><\/p>\n

        \u00c9laborer une politique fond\u00e9e sur les risques<\/strong><\/h3>\n

        Effective policy is not a blanket ban. It is a risk-based framework with three tiers: <\/p>\n

          \n
        • Ce qui est permis<\/li>\n
        • Ce qui n\u00e9cessite une approbation avant utilisation<\/li>\n
        • Ce qui est interdit, peu importe l\u2019intention<\/li>\n<\/ul>\n

          Cette structure donne aux \u00e9quipes de s\u00e9curit\u00e9 une position d\u00e9fendable et offre aux employ\u00e9s une voie claire \u00e0 suivre, plut\u00f4t qu\u2019une raison de contourner les r\u00e8gles.<\/p>\n

          Il est essentiel que la politique soit document\u00e9e et officiellement reconnue par les employ\u00e9s. L\u2019argument \u00ab je ne le savais pas \u00bb constitue l\u2019un des principaux obstacles \u00e0 l\u2019application des r\u00e8gles. Une fois qu\u2019un employ\u00e9 a pris connaissance d\u2019une politique d\u2019utilisation acceptable et l\u2019a accept\u00e9e, cet argument ne tient plus. Il ne s\u2019agit pas d\u2019une mesure punitive, mais d\u2019un m\u00e9canisme de responsabilisation qui donne tout son sens au reste du programme de gouvernance. <\/p>\n

          Mettre en place un processus d\u2019\u00e9valuation acc\u00e9l\u00e9r\u00e9<\/strong><\/h3>\n

          Tous les outils fant\u00f4mes ne sont pas adopt\u00e9s parce qu\u2019il n\u2019existe aucune solution approuv\u00e9e. Parfois, c\u2019est simplement parce qu\u2019un nouvel outil semble plus performant, qu\u2019un coll\u00e8gue l\u2019a recommand\u00e9 ou qu\u2019un employ\u00e9 voulait essayer quelque chose de diff\u00e9rent. <\/p>\n

          La r\u00e9ponse la plus efficace consiste \u00e0 mettre en place un processus simple qui permet aux employ\u00e9s de demander rapidement l\u2019approbation d\u2019un nouvel outil, selon des crit\u00e8res clairs et avec un d\u00e9lai de r\u00e9ponse court. Lorsque le processus approuv\u00e9 est plus rapide que le recours aux TI fant\u00f4mes, la plupart des employ\u00e9s choisiront cette voie. <\/p>\n

          Toute solution approuv\u00e9e doit \u00e9galement r\u00e9pondre r\u00e9ellement aux besoins de l\u2019employ\u00e9. Un outil trop lent ou trop restrictif peut cr\u00e9er un faux sentiment de s\u00e9curit\u00e9, tandis que les TI fant\u00f4mes continuent d\u2019\u00eatre utilis\u00e9es en parall\u00e8le. <\/p>\n

          Former les employ\u00e9s, pas seulement leur pr\u00e9senter les politiques<\/strong><\/h3>\n

          La formation ne devrait pas se limiter \u00e0 une pr\u00e9sentation ponctuelle des politiques. Elle doit \u00eatre continue, adapt\u00e9e aux r\u00f4les de chacun et fond\u00e9e sur des situations concr\u00e8tes : quelles donn\u00e9es ne doivent jamais quitter les syst\u00e8mes approuv\u00e9s, quoi faire lorsqu\u2019un coll\u00e8gue partage un nouvel outil int\u00e9ressant et comment demander son \u00e9valuation par le canal appropri\u00e9. <\/p>\n

          L\u2019objectif n\u2019est pas de faire peur aux employ\u00e9s face \u00e0 la technologie. Il s\u2019agit plut\u00f4t de leur donner suffisamment de contexte pour qu\u2019ils puissent prendre de meilleures d\u00e9cisions, m\u00eame lorsque personne ne les surveille. <\/p>\n

          Mettre en place une gouvernance propre \u00e0 l\u2019IA<\/strong><\/h3>\n

          L\u2019IA fant\u00f4me n\u2019est pas une menace \u00e9mergente. Pour la plupart des organisations, elle est d\u00e9j\u00e0 bien pr\u00e9sente, et l\u2019\u00e9cart en mati\u00e8re de gouvernance est encore plus important que celui observ\u00e9 avec les TI fant\u00f4mes. Les outils sont plus puissants, l\u2019exposition des donn\u00e9es est plus imm\u00e9diate et leur adoption s\u2019est faite \u00e0 une vitesse sans pr\u00e9c\u00e9dent. <\/p>\n

          La gouvernance de l\u2019IA doit couvrir les m\u00eames trois niveaux que toute politique de s\u00e9curit\u00e9, avec une attention particuli\u00e8re port\u00e9e \u00e0 la classification des donn\u00e9es. Toutes les donn\u00e9es ne devraient pas pouvoir \u00eatre trait\u00e9es par des outils d\u2019IA, et les employ\u00e9s doivent clairement comprendre quelles cat\u00e9gories de donn\u00e9es sont interdites, peu importe l\u2019outil utilis\u00e9. <\/p>\n

          La vraie le\u00e7on<\/strong><\/h2>\n

          Les TI fant\u00f4mes ne sont pas un probl\u00e8me technologique. C\u2019est un probl\u00e8me de visibilit\u00e9. <\/p>\n

          Cela r\u00e9v\u00e8le les endroits o\u00f9 les besoins de l\u2019entreprise \u00e9voluent plus rapidement que les processus de gouvernance.<\/p>\n

          Les organisations qui se concentrent uniquement sur le blocage des outils continueront de courir apr\u00e8s le probl\u00e8me. Celles qui parviennent \u00e0 le ma\u00eetriser consid\u00e8rent la visibilit\u00e9 comme une fonction op\u00e9rationnelle, les politiques comme un m\u00e9canisme de responsabilisation et les comportements des employ\u00e9s comme quelque chose \u00e0 encadrer plut\u00f4t qu\u2019\u00e0 r\u00e9primer. <\/p>\n

          Parce que, dans l\u2019environnement actuel, les plus grands risques en mati\u00e8re de cybers\u00e9curit\u00e9 ne sont souvent pas cach\u00e9s aux employ\u00e9s.<\/p>\n

          Ils sont cach\u00e9s \u00e0 l\u2019organisation elle-m\u00eame.<\/strong><\/p>\n

          Sachez ce qui se trouve dans votre environnement<\/strong><\/h3>\n

          Les TI fant\u00f4mes sont difficiles \u00e0 g\u00e9rer lorsqu\u2019on ne peut pas les voir. Citadelis aide les organisations \u00e0 am\u00e9liorer leur visibilit\u00e9, \u00e0 renforcer leur gouvernance et \u00e0 mettre en place des contr\u00f4les de s\u00e9curit\u00e9 pratiques qui tiennent compte de la fa\u00e7on dont les gens travaillent r\u00e9ellement. <\/p>\n

          Parlez \u00e0 un expert de Citadelis<\/strong><\/a><\/p>\n<\/div><\/div>

          <\/div>

          Sources<\/p>\n

          Lansweeper \u2013 Effective Shadow IT Management in 2025\u2002https:\/\/www.lansweeper.com\/blog\/itam\/effective-shadow-it-management-in-2025-best-practices\/<\/a><\/p>\n

          Microsoft UK Research on Shadow AI\u2002https:\/\/ukstories.microsoft.com\/features\/rise-in-shadow-ai-tools-raising-security-concerns-for-uk\/<\/a><\/p>\n

          Tom\u2019s Guide \u2013 Nearly 2 in 5 workers use unauthorized AI tools at work\u2002https:\/\/www.tomsguide.com\/ai\/nearly-two-in-five-workers-use-unauthorized-ai-tools-at-work-heres-why-companies-are-concerned<\/a><\/p>\n

          Microsoft Cyber Pulse: AI Security Report\u2002https:\/\/www.microsoft.com\/en-us\/security\/security-insider\/emerging-trends\/cyber-pulse-ai-security-report<\/a><\/p>\n<\/div><\/div><\/div><\/div>