Le Shadow IT

La première chose à comprendre, et celle que la plupart des approches manquent, est que le Shadow IT ne traduit pas une volonté de contourner les règles. Il traduit, presque toujours, l'une de ces trois situations.

• Un besoin réel n'est pas couvert. Il faut envoyer un fichier de 2 Go à un client, et la messagerie refuse les pièces jointes au-delà de 25 Mo. L'outil officiel n'existe pas, le besoin reste.
• Le circuit officiel est trop lent. Une demande d'outil prend six semaines à être instruite, le projet client en a besoin jeudi. Le collaborateur choisit de faire son travail.
• L'outil officiel est mauvais ou mal connu. La solution existe, elle est capable de le faire, mais personne n'a montré comment, ou son ergonomie décourage. Nous rencontrons régulièrement des entreprises qui paient une suite complète dont les utilisateurs ignorent la moitié des fonctions, et qui souscrivent à côté des outils qui font la même chose.

Dans les trois cas, la réaction naturelle de l'entreprise, qui est d'interdire, est aussi la moins efficace. Une interdiction qui ne résout pas le besoin déplace le contournement au lieu de le supprimer, et elle fait disparaître l'information : les gens cessent d'en parler, et le phénomène devient invisible plutôt qu'inexistant.

Quatre étapes, dans cet ordre. L'ordre compte plus que les étapes elles-mêmes.

1. Voir, sans chercher de coupable

On ne traite pas ce qu'on ne voit pas. Trois sources donnent une image étonnamment complète, sans aucun outil spécialisé.

• Les relevés de dépenses. Les abonnements mensuels de faible montant sur les cartes bancaires professionnelles sont le révélateur le plus direct.
• Les journaux de résolution de noms. Un résolveur DNS maîtrisé montre quels services sont joints depuis le réseau, sans inspecter aucun contenu.
• Les applications autorisées dans votre annuaire. Beaucoup d'outils demandent une connexion avec le compte professionnel, ce qui laisse une trace consultable dans Entra ID.

Cette phase doit être explicitement sans sanction, et il faut le dire avant de commencer. Si les collaborateurs anticipent une réprimande, ils cachent, et vous perdez la seule information utile.

2. Classer, plutôt que tout interdire

Trois catégories suffisent. À adopter : l'outil répond à un vrai besoin, il est correct, on le reprend officiellement avec un contrat au nom de l'entreprise et des comptes nominatifs. À remplacer : le besoin est légitime, l'outil ne convient pas, on fournit une alternative avant de fermer. À arrêter : l'usage est réellement problématique, et on l'explique.

En pratique, la première catégorie est la plus fournie, et c'est une bonne nouvelle : le Shadow IT est aussi un indicateur de besoins réels, remonté gratuitement par les utilisateurs.

3. Reprendre la propriété

Pour les outils conservés, l'étape décisive : le compte doit appartenir à l'entreprise, la facturation passer par elle, les accès être nominatifs et protégés par un second facteur, les données entrer dans le plan de sauvegarde, et un contrat de sous-traitance exister si des données personnelles sont concernées. L'outil ne change pas, sa situation juridique et technique change entièrement.

4. Rendre le circuit officiel plus rapide que le contournement

C'est la seule mesure durable, et c'est aussi la plus exigeante pour l'organisation. Si demander un outil prend deux jours et donne une réponse claire, le contournement perd son intérêt. S'il prend deux mois, il reparaîtra, quelle que soit la politique affichée.