Shadow IT - les risques, les coûts et les moyens de les maîtriser
Au cours de la dernière décennie, la consumérisation des technologies de l'information a entraîné une augmentation rapide des attentes des gens en ce qui concerne leur expérience informatique au travail. C'est particulièrement vrai pour ceux qui ont grandi à l'ère de l'internet. Ils représentent une proportion de plus en plus importante de la main-d'œuvre et considèrent comme acquis les connexions de données rapides et les applications puissantes. Ils s'attendent à ce que l'informatique au bureau soit aussi facile, rapide et pratique que la technologie qu'ils utilisent à la maison. Si ce n'est pas le cas, il existe de nombreux moyens de répondre à leurs besoins, indépendamment du service informatique.
C'est ainsi que des environnements informatiques dits "fantômes" ont vu le jour dans de nombreuses organisations. Ces environnements sont en grande partie invisibles pour le département informatique et ne peuvent donc pas être contrôlés ou protégés. Les conséquences de ce manque de contrôle peuvent être graves. Elles vont des failles de sécurité à l'escalade des coûts, en passant par la réduction de la productivité et les manquements à la conformité.
C'est pourquoi il devient de plus en plus évident pour de nombreuses entreprises qu'il n'est plus possible d'ignorer cette question. Il est donc temps de poser (et de répondre) aux grandes questions qui entourent ce sujet délicat.
Qu'est-ce que l'informatique fantôme et pourquoi est-ce un problème ?
Le Shadow IT peut être défini comme tout matériel, logiciel, solution ou système informatique non approuvé utilisé au sein d'un réseau d'entreprise. L'informatique fantôme n'a généralement pas été approuvée par un décideur informatique de l'entreprise. Il est donc invisible pour le service informatique et échappe à son contrôle.
La consumérisation de l'informatique, la mobilité accrue des employés, le travail à domicile et les divers modèles de collaboration exigent que l'informatique d'entreprise soit plus flexible que jamais. Malheureusement, cela va à l'encontre des priorités et des capacités de nombreux services informatiques d'entreprise. Ils souhaitent conserver un contrôle strict sur le comportement des utilisateurs face à des menaces de sécurité de plus en plus nombreuses et sophistiquées. Mais nombre d'entre eux travaillent également dans un contexte de réduction des budgets et de pénurie de personnel. Tous ces facteurs se combinent pour rendre plus probable le développement de l'informatique fantôme, aujourd'hui et à l'avenir.
Quels sont les risques de l'informatique fantôme ?
Ils peuvent être classés dans les grandes catégories suivantes :
Brèches de sécurité : Heureusement, rares sont les employés qui travaillent délibérément dans des conditions dangereuses ou qui mettent en péril les biens de l'entreprise. Mais il est courant de le faire involontairement. L'utilisation de logiciels non autorisés contenant des vulnérabilités ou des codes malveillants, ou utilisant des connexions non sécurisées, est fréquente. Mais l'utilisation de ressources informatiques approuvées d'une manière non sécurisée (par exemple via un réseau Wi-Fi public) est encore plus répandue.
Augmentation des coûts: L'augmentation des coûts peut se manifester de différentes manières. Voir ci-dessous pour plus de détails.
Réduction de l'efficacité/de la productivité: L'informatique fantôme exerce une pression supplémentaire non mesurable sur le réseau et les ressources informatiques. Cela peut ralentir les processus et provoquer des pannes de système ou d'autres interruptions.
Défauts de conformité: Il est impossible de se conformer aux politiques d'octroi de licences sans transparence et sans contrôle de tous les actifs informatiques utilisés au sein de votre organisation.
Quels sont les coûts cachés de l'informatique fantôme ?
L'augmentation des coûts (souvent cachés) est la conséquence directe des risques décrits ci-dessus. Il s'agit notamment de:
Dommages causés par les failles de sécurité: C'est peut-être le coût le plus effrayant et le moins prévisible de tous les coûts de l'informatique fantôme. Il est très difficile de chiffrer la perte de données, le vol de propriété intellectuelle ou l'atteinte à la réputation. Mais on peut dire que le coût potentiel est presque illimité.
Dépenses inutiles: Contrairement aux professionnels de l'informatique, les entreprises ne sont généralement pas conscientes de toutes les conséquences potentielles de l'achat d'une solution particulière. Il leur est donc facile de dépenser de l'argent pour des solutions qui ne sont pas appropriées ou rentables à long terme. Des budgets peuvent être gaspillés et des investissements peuvent devoir être dupliqués en conséquence. De plus, les départements informatiques doivent dépenser de l'argent pour des solutions et des ressources conçues pour découvrir et éliminer l'informatique fantôme. Avec les bonnes solutions de gestion des services informatiques et de conformité en place, ces dépenses seraient également inutiles.
Échecs de l'audit de licence: L'utilisation des actifs informatiques à l'insu du service informatique rend impossible le respect des exigences des fournisseurs en matière de licences. De plus, l'employé moyen n'est que peu ou pas du tout conscient des conséquences d'une infraction à ces règles. Le coût de l'échec des audits de logiciels, qui sont de plus en plus fréquents, peut se chiffrer en millions d'euros.
Utilisation inefficace des licences: L'informatique fantôme signifie souvent que plusieurs groupes d'utilisateurs utilisent la même application ou le même service indépendamment les uns des autres. Par conséquent, il est presque certain que les opportunités de rabais sur les licences groupées sont manquées et que les budgets sont utilisés de manière inefficace.
Perte de productivité : L'informatique fantôme apparaît souvent parce que les utilisateurs pensent qu'ils peuvent être plus productifs avec leur application préférée (si elle n'est pas autorisée). La réalité est souvent inverse, car le trafic réseau associé n'a pas été pris en compte par le service informatique, qui ne peut pas non plus intervenir en cas d'incidents ou de problèmes techniques.
Comment aborder le problème de l'informatique fantôme ?
De nombreux services informatiques d'entreprise réagissent instinctivement en essayant de fermer le système et d'obliger les utilisateurs à respecter les politiques existantes. Cette approche de l'autruche est vouée à l'échec. En fait, elle risque d'aggraver le problème. L'exploration complète d'une meilleure solution dépasse le cadre de cet article. Toutefois, une approche optimisée comprend les éléments clés suivants :
- Demandez aux utilisateurs pourquoi ils font ce qu'ils font et pourquoi : Mieux comprendre les besoins des utilisateurs est essentiel pour éliminer la source du problème de l'informatique fantôme.
- Expliquer aux utilisateurs pourquoi l'informatique fantôme est mauvaise pour l'entreprise : Expliquer les risques et les coûts permet, dans la plupart des cas, d'amener les utilisateurs à se ranger du côté du service informatique. Mais seulement si le département informatique propose alors une alternative viable et nettement meilleure.
- Permettre aux unités opérationnelles d'acheter et d'utiliser les technologies de l'information de manière sûre et transparente : La meilleure façon d'y parvenir est de disposer d'un catalogue de services informatiques centralisé et d'une infrastructure de gestion des services, avec une fonctionnalité intégrée de respect de la conformité.
- Appliquer les politiques avec souplesse, en fonction des risques associés à des ensembles de données et à des services spécifiques : Il est essentiel d'adopter une approche coordonnée, qui concilie sécurité et fonctionnalité dans les environnements sur site et dans le nuage.
Conclusion
Pour la plupart des entreprises, la découverte et l'élimination de l'informatique fantôme sera un processus long et laborieux. Mais c'est un processus auquel elles doivent adhérer et qu'elles doivent mettre en œuvre de la manière la plus complète possible. Ce n'est qu'à cette condition que les risques et les coûts décrits ci-dessus pourront être définitivement éliminés. Les organisations de toutes sortes investissent beaucoup de temps, d'efforts et d'argent pour réussir dans leur domaine. Ce succès ne devrait jamais être compromis par une mise en œuvre et une gestion inutilement inefficaces et rigides des technologies de l'information de l'entreprise.
