Shadow IT : La menace interne silencieuse dans les environnements de travail à distance

Les gens, comme l'électricité, ont tendance à prendre le chemin de la moindre résistance. Au cours de la dernière année, les entreprises du monde entier se sont démêlées pour mettre en place une infrastructure à distance afin de traverser la tempête du coronavirus. Pour de nombreux employés, la transition abrupte du bureau au travail entièrement à distance a été une expérience largement non guidée. Selon l'étude work from home d'IBM Security, plus de la moitié des employés à distance interrogés n'ont pas reçu de nouvelles politiques de sécurité sur la façon de travailler en sécurité depuis chez eux. Avec plus de 34 % de tous les employés attendus pour être entièrement à distance d'ici la fin de l'année, les départements IT font la course contre la montre pour implémenter des systèmes d'infrastructure à distance sûrs et sécurisés qui répondront aux besoins de leurs employés.

En l'absence de direction appropriée, les travailleurs ont adopté un workflow hybride de nouvelles solutions de travail à distance, d'applications software-as-a-service (SaaS) basées sur navigateur, et d'outils de consommation repurposés pour la communication, le partage de fichiers, et la collaboration. Quand combiné avec le BYOD et une surveillance de sécurité laxiste, ces comportements créent l'opportunité parfaite pour les acteurs malveillants externes cherchant à profiter de la cybercriminalité.

La menace du Shadow IT

Le « Shadow IT » est le terme général utilisé pour décrire les applications et appareils, largement SaaS, que les employés configurent et utilisent sans permission IT ou contrôles corporatifs. Des appareils non sécurisés au partage de fichiers cloud public et email personnel, de nombreux employés à distance ont choisi le chemin de la moindre résistance et ont embrassé le Shadow IT. Ces comportements de travail hautement non sûrs ont le potentiel de mettre les données d'entreprise en danger, et représentent l'une des plus grandes vulnérabilités potentielles en IT aujourd'hui.

Au cours de la prochaine année, les équipes IT d'entreprise seront forcées de réformer efficacement les systèmes et l'infrastructure précipités mis en place pendant 2020, tout en tenant compte des nouveaux besoins des travailleurs à distance existants. Cet exercice d'équilibre nécessitera de nouvelles stratégies et approches pour traiter à la fois la sécurité et les comportements utilisateurs.

Selon une étude 2020 de Cyberark, la commodité l'emporte souvent sur la sécurité pour les parents travailleurs. Alors que les gens ont transitionné vers le travail à domicile à temps plein, s'occuper des enfants et membres de la famille peut prendre plus d'espace mental que les meilleures pratiques de cybersécurité. En résultat, 93 % des parents travailleurs ont réutilisé des mots de passe à travers applications et appareils, et 29 % des parents travailleurs ont admis qu'ils permettent à d'autres membres de leur foyer d'utiliser leurs appareils corporatifs pour des activités comme les devoirs, les jeux et les achats. Ces activités non sûres peuvent avoir de majeures répercussions.

Imaginez qu'un de vos développeurs logiciels a un malware sur son portable. Maintenant, vous les avez écrire du code essentiel sur un appareil non protégé. Vous n'avez aucune idée où ce code va. Quand vous publiez ce code, vous l'avez peut-être nettoyé, mais quelqu'un d'autre pourrait encore l'avoir.

Le danger des données non surveillées

Ce que beaucoup ne reconnaissent pas est que le Shadow IT n'est pas juste à propos de quelqu'un utilisant leur Dropbox ou Gmail personnel ; c'est aussi à propos de donner à quelqu'un l'accès à une application web comme Salesforce et ne pas avoir de contrôle. Qu'arrive-t-il à ces données une fois qu'elles résident localement ?

Selon une étude récente de Netwrix, 91 % des organisations affirment qu'elles stockent des données sensibles et réglementées uniquement dans des emplacements sécurisés. Cependant, 24 % d'entre elles ont admis avoir découvert de telles données en dehors des emplacements désignés au cours de l'année écoulée.

Créer des environnements numériques sûrs nécessite de considérer le dénominateur commun le plus bas. Avec la culture du travail à domicile ne semblant pas partir de sitôt, il est de plus en plus critique de fournir aux employés des solutions qui tiennent compte de certaines des habitudes moins flatteuses de l'humanité. Si le Shadow IT n'est pas sérieusement considéré par les équipes IT corporatives et les CIO, alors leurs informations les plus sensibles sont en grand danger.

Tous les solutions matérielles et logicielles du monde ne peuvent pas protéger votre entreprise si vos employés ne les utilisent pas. La réalité est que si une organisation échoue à fournir les bons outils et la formation à ses employés, ils prendront le chemin de la moindre résistance, et laisseront les données sensibles en danger. Former les gens sur les outils qu'on leur donne est tout aussi crucial que de leur donner le logiciel en premier lieu. Si c'est trop difficile de faire fonctionner le logiciel, la tentation d'accéder juste à l'API de l'entreprise depuis Chrome sera toujours au fond de leur esprit. Éduquer les employés sur les meilleures pratiques, et construire une infrastructure IT autour de leurs besoins, devrait servir de pierre angulaire pour tous les CIO et départements IT.

Michael Abboud est fondateur et CEO de TetherView, un fournisseur de cloud privé.