Shadow IT
Le shadow IT désigne les systèmes, services cloud et applications déployés sans validation de la DSI. Absent de l'inventaire officiel, il échappe aux correctifs.
Le shadow IT, littéralement "informatique fantôme", désigne tout ce qui est déployé dans une organisation sans passer par la DSI : le SaaS souscrit par un service métier avec une carte bancaire, la machine virtuelle de test qu'un développeur a oublié d'éteindre, le sous-domaine créé pour une campagne marketing et jamais décommissionné. Rien de malveillant dans tout cela, le plus souvent : juste des équipes qui vont vite.
Le problème est mécanique : ce qui n'est pas dans l'inventaire n'est ni durci, ni patché, ni surveillé. Une part notable des intrusions commence ainsi, non par une prouesse technique, mais par un actif oublié dont personne n'avait la charge, avec sa version vulnérable et sa configuration par défaut. Le shadow IT est, en pratique, la première source d'écart entre la surface d'attaque théorique et la surface d'attaque réelle.
On le débusque en regardant depuis l'extérieur, comme un attaquant : journaux de Certificate Transparency, DNS, moteurs de recherche spécialisés. Notre article sur le shadow IT pose le sujet, celui sur la Certificate Transparency appliquée au shadow IT détaille la technique la plus efficace, et une plateforme EASM industrialise cette traque en continu.
Ce que ça déclenche côté RGPD
Un service souscrit hors DSI qui traite des données personnelles crée une obligation immédiate. Ce traitement doit figurer au registre prévu par l'article 30 du RGPD, et le fournisseur doit être encadré par un contrat de sous-traitance au sens de l'article 28. Une fuite chez ce prestataire reste imputable au responsable de traitement, c'est-à-dire à l'entreprise, pas au service métier qui a sorti la carte bancaire. Le shadow IT n'est donc pas seulement un risque technique : c'est un risque de non-conformité qui ne se manifeste qu'au moment de l'incident, quand il est trop tard pour régulariser quoi que ce soit.
L'interdire ne marche pas
La note de service qui bannit les outils non validés produit surtout du shadow IT mieux caché. Les équipes contournent parce que le circuit officiel est trop lent, ou parce qu'il n'offre rien d'équivalent. Ce qui fonctionne tient en trois points : un catalogue d'outils déjà validés couvrant les besoins courants, un chemin de validation rapide pour le reste, et une découverte technique continue qui montre ce qui existe vraiment. Cette découverte se mène depuis l'extérieur, par les journaux de Certificate Transparency et le DNS, avant même de regarder les factures, parce que les actifs les plus dangereux sont ceux que plus personne ne paie.
Questions fréquentes
Comment détecter le shadow IT sans agent ?
Par l'extérieur : journaux de Certificate Transparency, énumération DNS, moteurs d'indexation de services exposés, enregistrements WHOIS. Ces sources révèlent les sous-domaines et services publiés au nom de l'entreprise, y compris ceux que personne n'a déclarés.
Le shadow IT concerne-t-il aussi l'IA ?
Oui, et c'est devenu son cas le plus courant : assistants et services d'IA générative utilisés sans validation, avec des données d'entreprise collées dans des interfaces tierces. Le problème est identique, la sensibilité des données en plus.
Faut-il tout supprimer une fois découvert ?
Non, on trie. Ce qui est inutilisé se décommissionne, ce qui rend un vrai service se régularise et se met sous contrat. Supprimer un outil dont une équipe dépend garantit surtout qu'elle en trouvera un autre, encore moins visible.