Bonnes pratiques de shadow IT pour les RSSI, les DSI et les dirigeants d’entreprise

Points clés à retenir

1. Le shadow IT, ou « Informatique fantôme », n’est pas près de disparaître. Gartner prévoit que, d’ici 2027, 75 % des salariés auront acquis, modifié ou créé des technologies à l’insu du service informatique.
2. L’IA fantôme représente désormais une part importante du problème, et le NCSC britannique cite explicitement les outils d’IA utilisés sans autorisation dans ses recommandations sur le shadow IT.
3. Les outils autorisés font aussi partie du problème : des études montrent que plus d’un tiers de tous les fichiers partagés via des plateformes approuvées, accessibles à « toute personne disposant du lien », contiennent des données sensibles.
4. Votre objectif n’est pas de supprimer le shadow IT, mais le shadow IT inconnu. Pour y parvenir, il vous faut un plan d’action concret, adapté à votre fonction : RSSI, responsable IT ou dirigeant.

Le shadow IT en 60 secondes

Le shadow IT désigne toute technologie (applications, appareils, outils d’IA, services cloud) utilisée à des fins professionnelles sans que l’IT en ait connaissance ou l’ait approuvée.

Comme ces ressources échappent à la gestion des actifs et à la politique informatique de l’entreprise, elles peuvent entraîner l’exfiltration de données sensibles ou la propagation de logiciels malveillants (les recommandations du NCSC sur le shadow IT abordent ce sujet en détail).

Le shadow IT n’a rien à voir avec l’utilisation par les salariés de leurs appareils personnels. Avec une politique appropriée, l’organisation conserve, dans une certaine mesure, la propriété et le contrôle des données de l’entreprise sur l’appareil. Avec le shadow IT, le risque peut passer de nul à critique, sans que l’organisation n’en sache rien.

Si vos équipes jonglent entre appareils professionnels et personnels, ne vous fixez pas un objectif de zéro shadow IT, mais bien de zéro shadow IT inconnu.

Les 5 principes fondamentaux pour maîtriser le shadow IT

Avant d’aborder les tactiques propres à chaque fonction, voici les cinq principes fondamentaux d’une stratégie de sécurité efficace :

1. Tout répertorier, y compris les services : le NIST CSF 2.0 recommande de tenir à jour un inventaire de tous les logiciels et services, y compris les services API et les applications cloud, et de surveiller les changements en continu.
2. Effectuer des contrôles réguliers pour détecter les logiciels non autorisés : le contrôle CIS 2 vise à garantir que seuls les logiciels autorisés sont installés, et que les logiciels non autorisés ou non gérés sont détectés et bloqués. Cette mesure recommande d’effectuer des vérifications au moins une fois par mois, puis soit d’autoriser l’outil, soit de documenter l’exception.
3. Supprimer les raisons qui poussent à contourner les règles : le NCSC conseille d’éviter les restrictions inutiles, comme bloquer la collaboration externe, et mettre en place rapidement un processus de demande simple et efficace pour que les procédures ne deviennent pas un frein.
4. Les présenter ouvertement plutôt que supprimer : le NCSC recommande de mettre en place des processus pour garder le contrôle sur les services non autorisés, par exemple en migrant les données vers des plateformes prises en charge, plutôt que de simplement les supprimer.
5. Ne pas blâmer vos collaborateurs : si vous les sanctionnez, leurs collègues arrêteront de partager leurs propres solutions de contournement, et vous aurez encore moins de visibilité qu’avant.

Bonnes pratiques de shadow IT pour les RSSI

Il est essentiel que les RSSI aient conscience des risques liés au shadow IT et prennent les mesures qui s’imposent. Les pratiques suivantes portent sur la gouvernance du shadow IT, sa détection et l’exposition des données.

1. Intégrez le shadow IT dans l’évaluation des risques, plutôt que dans les tâches de l’équipe support

Considérez le shadow IT comme un risque important pour l’entreprise. Classez chaque outil identifié dans l’une des trois catégories suivantes :

1. À adopter : risque faible, forte valeur ajoutée. Intégrez-le au SSO et passez-le sous contrat.
2. À remplacer : un vrai besoin couvert par un outil risqué. Proposez un équivalent autorisé.
3. À retirer : redondant ou très risqué. Migrez les données et révoquez les accès.

2. Multipliez les sources de détection

Une détection efficace du shadow IT combine :

• Le trafic CASB/SASE
• Les journaux des fournisseurs d’identité
• Les audits des autorisations OAuth
• Les notes de frais et données de cartes bancaires
• La gestion des terminaux
• Les contrôles des espaces de travail partagés

Le NCSC souligne que les CASB qui n’interceptent pas les connexions chiffrées ne peuvent ni identifier les comptes personnels sur les services cloud approuvés ni montrer ce que font les utilisateurs au sein de ces services. C’est grâce à une approche par couches que l’on parvient à combler ces angles morts.

3. Suivez les données et pas seulement les applications

Le shadow IT qui coûte le plus cher n’est pas lié à un outil non autorisé, mais à des « données fantômes » qui quittent les plateformes autorisées. Ces risques liés au partage de fichiers en externe passent facilement inaperçus :

• Les fichiers accessibles à « toute personne disposant du lien »
• Les documents partagés sur des comptes Gmail personnels
• Les accès par des prestataires après la fin de leur contrat

C’est ce qu’on appelle la dérive des autorisations, qui s’accumule sans que l’on s’en rende compte. Chaque fichier partagé « juste pour cette fois » vient élargir une surface d’exposition que personne ne surveille. Nous y reviendrons plus loin.

4. Intégrez le shadow AI dès le départ

La gouvernance de l’IA fantôme ne devrait pas être un projet distinct, lancé une fois votre programme de shadow IT arrivé à maturité, car il y a fort à parier que vos équipes soient déjà en train de coller des données dans des outils d’IA non autorisés. D’ailleurs, le NCSC a cité en septembre 2026 une étude de Microsoft selon laquelle 71 % des salariés britanniques avaient utilisé des outils d’IA non approuvés par leur employeur.

La démarche qui fonctionne :

1. Classez les données sensibles avant d’interdire quoi que ce soit.
2. Proposez un outil d’IA approuvé pour offrir une solution sûre.
3. Surveillez toute utilisation non autorisée de l’IA et orientez les utilisateurs vers l’option approuvée.

Pour aller plus loin, consultez notre guide sur les fuites de données liées à l’IA, et notre cadre en 3 étapes pour gérer les risques liés aux outils d’IA.

5. Utilisez le langage des affaires

« Nous avons trouvé 400 applications » ne pousse pas un conseil d’administration à agir, contrairement à « X fichiers sensibles sont exposés à Y domaines externes ». Présentez vos conclusions en termes de résultats : données exposées, partenaires concernés, délai de résolution.

Bonnes pratiques de shadow IT pour les DSI

Les DSI pilotent le processus au quotidien. Ces stratégies répondent à une question concrète : comment prévenir le shadow IT sans devenir le service qui dit toujours « non ».

1. Créez une procédure accélérée de 48 heures pour les outils à faible risque

La lenteur des validations est la principale raison qui pousse les salariés à chercher une solution de contournement. Mettez donc en place une procédure accélérée de 48 heures pour les outils à faible risque, associée à un catalogue publié d’applications pré-approuvées, afin que la réponse soit souvent « déjà approuvée ».

2. Effectuez un examen mensuel des logiciels non autorisés

Conformément aux recommandations du CIS, attribuez à chaque application découverte un responsable, une catégorie (adopter, remplacer ou retirer) et une date. Sans responsables ni échéances, ces bilans se transforment en tableaux Excel que personne ne lit.

3. Organisez une « amnistie » du shadow IT, puis migrez

Encouragez les signalements sans sanction. Transférez ensuite les données vers des plateformes prises en charge avant de désactiver quoi que ce soit, pour ne pas interrompre le travail ni briser la confiance.

4. Comblez les lacunes liées au départ des collaborateurs

Lorsqu’un collaborateur ou un partenaire quitte l’entreprise, veillez à révoquer :

• Les autorisations OAuth
• Les partages externes
• Les comptes invités

Les accès obsolètes sont du shadow IT caché dans des outils que vous payez déjà.

5. Partagez la responsabilité du partage de données

Le service informatique ne peut pas examiner à lui seul des milliers de fichiers partagés. Laissez les propriétaires de fichiers confirmer ou révoquer eux-mêmes leurs partages externes en un clic, et ne faites remonter que les cas exceptionnels. Cette approche offre une flexibilité que l’examen centralisé ne pourra jamais égaler.

6. Améliorez réellement l’outil approuvé

Si la solution officielle est moins performante que la solution de contournement, les utilisateurs la contourneront. Une limite d’envoi de 25 Mo incite directement à envoyer des fichiers par e-mail via un compte personnel. Considérez l’expérience approuvée comme un produit et corrigez ce qui frustre les utilisateurs.

7. Recrutez des ambassadeurs sécurité

Désignez un ambassadeur dans chaque service pour faire remonter à l’IT les besoins en matière d’outils non couverts, avant que des solutions de contournement n’apparaissent. Cela permet de mettre un visage sur la question.

En savoir plus : Les risques de ChatGPT en 2026 : comment sécuriser son utilisation

Bonnes pratiques de shadow IT pour les dirigeants, les conseils d’administration et le service achats

Ce sont les dirigeants qui créent les conditions qui favorisent ou freinent le développement du shadow IT. Le service achat, lui, a accès aux dépenses et aux cartes de paiement, qui constituent l’une des principales sources d’information sur le sujet. Et c’est lors des discussions sur les renouvellements de contrats que les décisions se prennent pour adopter ou abandonner une solution.

1. Ne vous contentez pas d’interdire : financez des alternatives

Goldman Sachs, par exemple, a restreint l’accès à ChatGPT en 2023, avant de déployer son propre assistant d’IA auprès de ses collaborateurs. En associant une restriction à une alternative sûre, on évite qu’une interdiction ne pousse les utilisateurs à recourir à des solutions clandestines.

2. Comprenez les enjeux réglementaires

En 2022, 16 entreprises de Wall Street ont accepté de payer des amendes cumulées de plus de 1,1 milliard de dollars pour ne pas avoir conservé les archives de leurs communications électroniques. Des salariés parlaient régulièrement de leur travail via des applications de messagerie instantanée sur leurs appareils personnels, exposant leur entreprise à d’énormes risques de responsabilité.

3. Montrez l’exemple

Les habitudes des salariés se calquent sur celles de leur responsable et de l’équipe dirigeante. Le shadow IT relève d’une habitude de la direction autant qu’une habitude des équipes : vous pouvez donner le ton en montrant concrètement à vos équipes à quoi ressemblent les bonnes pratiques.

4. Posez ces trois questions clés chaque trimestre

1. Quelle part de nos applications est autorisée ?
2. Quelle quantité de données sensibles est partagée en externe, et avec qui ?
3. Combien de temps faut-il pour faire approuver un nouvel outil ?

5. Favorisez une culture du « coach, pas flic »

D’après notre expérience, c’est souvent au sein du service IT le plus strict que l’on retrouve le plus de shadow IT. Veillez à maintenir une communication ouverte entre le personnel et l’IT pour éviter une culture du secret. De cette manière, le service informatique sera informé bien en amont si un outil non autorisé est utilisé.

En suivant ces bonnes pratiques, les RSSI, les DSI et les dirigeants d’entreprise ont toutes les cartes en main pour maîtriser le shadow IT. Mais comment savoir si vos actions portent leurs fruits ?

Les indicateurs pour mesurer l’efficacité de votre stratégie shadow IT

Suivez ces six indicateurs pour mesurer l’efficacité de votre plan d’action :

1. Ratio applications connues/applications découvertes : suivi dans le temps et communication des résultats.
2. Délai moyen d’approbation d’un nouvel outil : objectif moins de 48 heures pour les outils à faible risque.
3. Fichiers sensibles partagés en externe : suivez les évolutions mensuelles et trimestrielles.
4. Partages externes obsolètes et accès partenaires corrigés : visez une augmentation du pourcentage.
5. Amnistie et signalements volontaires : une hausse des signalements est le signe d’une culture d’entreprise saine.
6. Outils d’IA non autorisés vs outils autorisés : les outils non autorisés peuvent être le signe d’un problème.

Puisqu’on parle d’indicateurs utiles, avez-vous lu notre guide des 12 indicateurs clés en cybersécurité ?

L’angle mort des programmes de shadow IT : vos applications déjà autorisées

La plupart des programmes traquent les applications inconnues, mais l’exposition la plus importante vient souvent des applications et outils déjà autorisés. Une part croissante de l’exposition réelle se produit dans des outils déjà approuvés par l’IT, comme Google Drive, SharePoint et OneDrive.

Une étude réalisée en 2025 a révélé que plus d’un tiers des fichiers accessibles à « toute personne disposant du lien » via des plateformes approuvées contenaient des données sensibles, y compris des données médicales protégées. Une telle situation, si elle n’est pas corrigée, expose l’organisation à toutes sortes de problèmes réglementaires et à une perte de confiance de la part des clients.

Cela peut se produire de trois façons :

1. Les erreurs de partages : fichiers partagés avec le mauvais destinataire
2. Les partages publics : liens accessibles à tous
3. Les partages oubliés : accès que plus personne ne se souvient d’avoir accordés

Les outils de détection au niveau du réseau ne voient souvent rien de tout cela, et c’est là que le DLP (Data Loss Prevention, ou prévention des pertes de données) est utile. Le DLP traditionnel se concentre sur le blocage des données au périmètre, mais la gouvernance moderne du shadow IT requiert un DLP capable d’auditer la façon dont les données sont réellement partagées au sein de vos plateformes de collaboration autorisées.

Nous avons conçu Sonar, une solution DLP qui audite les données partagées dans votre espace de travail Google ou Microsoft pour vous aider à repérer et corriger les erreurs comme les abus :

• Adapté à chaque partenaire : les droits d’accès aux données varient selon les partenaires, et les règles de Sonar en tiennent compte.
• Gestion décentralisée : Albert, l’assistant IA de Sonar, explique à vos salariés les bonnes pratiques de partage, pour qu’ils corrigent eux-mêmes leurs partages pendant que vous vous concentrez sur les règles et les cas particuliers.
• Déploiement rapide : les intégrations avec Google et Microsoft s’effectuent en quelques clics.

Votre plan d’action shadow IT à 90 jours : identifier, simplifier, résoudre

Comme souligné dans notre guide d’introduction au shadow IT, voici un plan d’action à 90 jours pour reprendre le contrôle et gagner en visibilité sur ce qui se passe au sein de votre organisation :

Jours 1 à 30 : identifier le problème pour avoir de la visibilité

• Établir un état des lieux initial
• Vérifier les autorisations OAuth
• Auditer le partage de fichiers en interne dans Google Workspace et Microsoft 365
• Faire une promesse d’amnistie

Jours 31 à 60 : simplifier en revoyant les procédures et les politiques

• Lancer la procédure accélérée et le catalogue d’outils pré-approuvés
• Mettre à jour la politique d’utilisation acceptable avec des consignes sur l’IA et les appareils personnels
• Migrer les cinq principaux outils clandestins

Jours 61 à 90 : résoudre en créant une culture où l’IT est un allié, pas un obstacle

• Mettre en place une formation de sensibilisation
• Confier aux employés la responsabilité de leurs partages d’informations
• Présenter les indicateurs à la direction
• Instaurer un suivi trimestriel.

Reprenez le contrôle du shadow IT avec nos bonne pratiques

Le shadow IT est le signe que les outils et processus approuvés ne répondent pas aux vrais besoins de vos équipes. Les organisations qui réussissent font en sorte que la voie officielle soit la plus rapide, savent où vont réellement leurs données, et accompagnent plutôt que de sanctionner.

Votre objectif : zéro shadow IT inconnu. Pour découvrir comment Riot peut vous aider, échangez dès aujourd’hui avec l’un de nos experts.

FAQ

1. Quelles sont les bonnes pratiques de shadow IT les plus importantes ? Une surveillance continue, un processus d’approbation rapide, des alternatives autorisées, une culture sans reproche et une visibilité sur la façon dont les données sont partagées.
2. Qui devrait être responsable du shadow IT ? Le RSSI assume la responsabilité du risque, l’IT gère le processus et la direction finance les alternatives. Les salariés sont coresponsables de leurs propres partages de données.
3. À quelle fréquence faut-il rechercher le shadow IT ? Tous les mois pour les logiciels non autorisés (selon le CIS), avec une revue trimestrielle de la politique et des partages externes.
4. Faut-il bloquer purement et simplement le shadow IT ? Non. Les interdictions générales ne font que pousser les utilisations clandestines. Classez plutôt chaque outil dans l'une de ces trois catégories : adopter, remplacer ou supprimer.
5. L’IA fantôme fait-elle partie du shadow IT ? Oui. Le NCSC la mentionne désormais explicitement.
6. À quoi sert un outil DLP dans ce cas ? Il montre où vont réellement les données sensibles, y compris via les applications autorisées.