Trop d’outils, pas assez de visibilité

L’adoption incontrôlée de logiciels augmente les risques de sécurité

Il fut un temps où le service informatique avait la main sur ce que vous pouviez ou ne pouviez pas exécuter au sein de votre organisation. Cette époque est révolue. Tout employé disposant d’un navigateur et d’une curiosité suffisante peut ajouter de nouvelles applications, sans l’approbation du service informatique, sans surveillance, sans garde-fou. La plupart de ces outils améliorent la fonction. Ils accélèrent les flux de travail, stimulent la productivité, automatisent les tâches banales. C’est très bien. Mais les dirigeants doivent comprendre l’autre côté de l’équation : cette autonomie élargit rapidement la surface de risque de votre organisation.

Nous assistons à un déferlement silencieux d’outils non autorisés, appelés « shadow IT ».shadow IT« qui sont utilisés quotidiennement à l’insu des services informatiques. Les applications s’intègrent dans les flux de travail, accèdent à des documents sensibles ou à des plateformes de stockage telles que Google Drive, et opèrent sans être vues. Ajoutez à cela l’IA intégrée et il devient difficile de savoir ce qui se passe sous le capot de ces outils.

Vous vous retrouvez donc avec une pile technologique décentralisée. C’est agile, oui. Mais cela nuit à votre visibilité. Si vous ne pouvez pas voir ce qui est utilisé, vous ne pouvez pas le sécuriser. Pire encore, lorsque ces outils extraient des données sensibles sans en rendre compte, vous ne savez pas où ces données aboutissent ni qui peut encore y accéder.

Il s’agit de gérer l’exposition. Les dirigeants doivent veiller à ce que les gains de productivité ne se fassent pas au prix de graves vulnérabilités. Les plateformes de visibilité qui donnent aux équipes de sécurité un aperçu continu de chaque application, de chaque connexion, et même des extensions de navigateur, ne sont plus optionnelles. Elles sont le seul moyen de prendre des décisions rapides et de limiter les risques.

L’IA fantôme élargit la surface d’attaque

Les outils d’IA sont aujourd’hui utilisés dans tous les services. Non pas du haut vers le bas, mais de la périphérie vers l’intérieur. Le marketing les utilise pour rédiger des textes plus rapidement. L’ingénierie les utilise pour déboguer ou générer automatiquement du code. Les services financiers utilisent ces outils pour traiter les données. Ces outils n’ont pas fait l’objet d’un examen centralisé des risques et la plupart d’entre eux ne figurent pas sur votre liste de logiciels approuvés. C’est là que le problème commence.

Les systèmes d’IA non validés se connectent souvent par le biais d’autorisations permanentes telles qu’OAuth. Ces jetons persistants donnent aux applications un accès à long terme aux données sensibles. Si l’on ajoute à cela l’absence de contrôle des versions, d’audit ou de surveillance, cela signifie que vos équipes pourraient exposer des informations protégées par le biais d’applications que personne n’a réellement examinées, même par accident.

L’IA intégrée évolue également rapidement. Des outils qui n’utilisaient pas l’intelligence artificielle le mois dernier sont soudainement mis à jour avec de grands modèles de langage, et vos utilisateurs ne le savent peut-être même pas. Ainsi, même si vous avez approuvé la version originale de l’application, celle que vous utilisez aujourd’hui peut être différente, sur le plan fonctionnel et du point de vue de la sécurité.

Les chefs d’entreprise doivent être clairs : l’IA permet d’accroître considérablement les performances dans tous les services. Mais vous avez besoin d’une détection claire et en direct de l’endroit où l’IA fonctionne, de la manière dont elle est intégrée et de ce à quoi elle accède. Dans le cas contraire, votre posture de sécurité et de conformité reste incertaine. Ce n’est pas une stratégie. C’est un angle mort qui s’élargit avec chaque mise à jour d’application et chaque intégration de tiers.

Si vous souhaitez une croissance sans chaos, la visibilité en temps réel de l’utilisation de l’IA est le point de départ.

La complexité de la chaîne d’approvisionnement du SaaS exacerbe les vulnérabilités

Les environnements SaaS modernes ne sont pas des systèmes isolés. Ils fonctionnent grâce à un réseau d’intégrations d’application à application, reliées entre elles par des jetons OAuth, des clés API et des services intégrés. C’est ainsi que vous favorisez l’automatisation et l’évolutivité. Mais chaque connexion ajoutée augmente votre exposition. Plus vous avez d’intégrations, plus vous offrez de points d’entrée potentiels à des acteurs malveillants.

Les risques de sécurité ne passent pas toujours par la porte d’entrée. Souvent, c’est un outil plus petit, apparemment sans intérêt, qui sert de point d’accès. Ces applications SaaS moins connues demandent souvent des autorisations étendues, l’accès au courrier électronique, le stockage de fichiers, l’interrogation de bases de données, simplement pour fonctionner. Lorsque l’une d’entre elles est compromise, elle devient une rampe de lancement vers des plateformes plus sensibles de votre pile.

La plupart des entreprises ne disposent pas d’un inventaire des interactions entre leurs applications. Les intégrations fantômes, créées par les employés sans approbation, passent facilement inaperçues. Une fois connectées, nombre de ces applications restent actives longtemps après avoir rempli leur fonction initiale. Au fil du temps, vous vous retrouvez avec des couches d’intégrations invisibles, obsolètes et potentiellement dangereuses qui touchent encore des systèmes critiques. Elles sont persistantes car les jetons OAuth expirent rarement à moins d’être révoqués manuellement.

Pour les cadres dirigeants, cette tendance devrait être un signal d’alarme. Sans une vision globale de la manière dont les systèmes sont connectés, vous ne pouvez pas gérer les risques de manière proactive. Vous avez besoin d’une cartographie d’intégration continue, non seulement des applications existantes, mais aussi de leur interface, des jetons qui leur ont été accordés et des données internes auxquelles elles peuvent accéder. Lorsque cette visibilité existe, votre équipe peut identifier, restreindre ou fermer les voies à haut risque avant qu’un attaquant ne les utilise.

Les défis de conformité augmentent avec les outils non approuvés

La conformité n’évolue pas lorsque vos données sont dispersées dans des outils inconnus. Plus votre informatique est décentralisée, plus il est difficile de savoir qui a accès aux données sensibles, où elles sont stockées et comment elles sont traitées. Les normes telles que GDPR, SOC 2 ou HIPAA ne se soucient pas de savoir si un outil a facilité le travail de quelqu’un, mais si cet outil suit des protocoles de traitement et de reporting stricts.

Dans les flux de travail actuels basés sur le SaaS, les employés peuvent intégrer des applications sans même vérifier l’alignement réglementaire. Les outils d’IA rendent la situation encore plus délicate, car nombre d’entre eux fonctionnent par le biais d’API de fournisseurs qui ne divulguent pas publiquement la manière dont vos données sont traitées ou conservées. C’est un problème lorsque les auditeurs commencent à poser des questions ou lorsqu’une violation met la conformité sous la loupe.

De plus, il ne s’agit pas seulement de votre conformité, mais aussi de celle de vos fournisseurs. Si les outils utilisés ne sont pas conformes, c’est votre entreprise qui en porte la responsabilité. Et comme nombre de ces outils sont introduits sans contrôle central, le risque passe souvent inaperçu jusqu’à ce qu’il soit trop tard.

Du point de vue de la direction, votre responsabilité n’est pas seulement de protéger la réputation de l’entreprise, mais aussi d’éviter les amendes, les sanctions ou la méfiance des clients liée à une mauvaise gestion des données réglementées. Vous ne pouvez pas faire respecter ce que vous ne pouvez pas voir. C’est pourquoi les évaluations automatiques de la conformité et les audits environnementaux doivent être permanents. Vous avez besoin de systèmes qui détectent non seulement les outils utilisés, mais aussi s’ils respectent vos seuils de conformité spécifiques. Sans cela, vous vous en remettez à la chance, et non au contrôle.

Des processus d’abandon inadéquats entraînent des accès persistants aux systèmes.

L’offboarding est l’une des lacunes les plus négligées en matière de sécurité. Lorsque les employés quittent l’entreprise, l’accent est généralement mis sur les ressources humaines, la restitution des actifs et la désactivation des comptes dans les systèmes principaux. Mais ce que l’on oublie souvent, ce sont les applications personnelles, les extensions de navigateur et les outils tiers que ces utilisateurs ont connectés à votre pile de données et qui, pour la plupart, n’ont pas été officiellement approuvés au départ.

Ces outils créent des points d’accès résiduels. Les jetons OAuth liés à des comptes individuels peuvent rester actifs longtemps après le départ de l’utilisateur. Certaines applications continuent de synchroniser les données de l’entreprise en arrière-plan parce qu’elles ont été installées à l’aide de comptes personnels qui n’ont pas fait l’objet d’un suivi centralisé. L’exposition des données ne disparaît pas simplement parce que quelqu’un a quitté l’organisation.

Pour les dirigeants, il ne s’agit pas seulement d’un manque d’hygiène, mais d’un risque transférable. Une intégration oubliée liée à un ancien employé devient une porte ouverte. Si ce compte personnel est compromis, vos systèmes internes peuvent être exposés. Sans une visibilité totale sur les jetons persistants et l’accès aux outils cachés, il est pratiquement impossible de prédire où commence ou s’arrête cette exposition.

Vous devez être en mesure d’identifier toutes les identités actives et inactives qui ont accès aux systèmes internes, qu’elles soient humaines, non humaines ou inconnues. Les équipes de sécurité doivent savoir non seulement quelles applications sont utilisées, mais aussi qui les utilise, et si des connexions sont encore actives alors que la personne associée a quitté l’entreprise. Tout processus opérationnel de désengagement qui n’inclut pas l’audit au niveau des connexions est incomplet.

Une visibilité et un contrôle globaux sont essentiels pour sécuriser les technologies de l’information décentralisées.

L’informatique décentralisée est déjà là, et elle n’est pas près de disparaître. Les équipes évoluent rapidement, à la recherche d’outils qui leur permettent d’en faire plus en moins de temps. Si cette rapidité favorise l’innovation, elle crée aussi de la complexité, et la complexité, si elle n’est pas gérée, conduit directement au risque.

Vous ne pouvez pas réduire ce risque si vous n’avez pas une connaissance totale de la situation. Cela signifie que vous devez savoir exactement quels sont les outils en cours d’exécution, où ils fonctionnent, quelles sont les données qu’ils touchent et qui y a accès. Les listes d’applications connues et approuvées ne suffisent pas. Vous devez suivre l’ensemble de l’environnement applicatif, autorisé ou non, au fur et à mesure qu’il évolue en temps réel.

Le leadership a besoin de confiance, pas d’hypothèses. Cela n’est possible que lorsque l’équipe de équipe de sécurité a un accès direct aux informations contextuelles : permissions des applications, méthodes d’authentification, fonctions d’IA intégrées, points d’intégration multiplateformes et sessions persistantes. Sans ce niveau de contrôle, vous gérez à l’aveugle. Le Shadow IT devient inévitable et votre temps de réponse aux menaces émergentes ralentit, parfois au point que l’atténuation n’est pas possible avant que les dommages ne soient causés.

La solution n’est pas de restreindre l’autonomie ou de forcer les équipes à utiliser des technologies rigides. La solution, c’est la visibilité d’abord, le contrôle ensuite. Grâce à une découverte précise et continue et à une surveillance complète, vous pouvez agir rapidement lorsqu’un risque apparaît, sans ralentir les équipes qui stimulent la croissance.

Principaux enseignements pour les décideurs

• L’adoption incontrôlée d’applications accroît les risques : Les employés intègrent désormais des outils sans surveillance informatique, ce qui introduit des vulnérabilités inconnues. Les dirigeants devraient mettre en œuvre des solutions de découverte continue pour retrouver la visibilité et le contrôle de leur environnement.
• L’IA fantôme augmente l’exposition sans préavis : Les outils d’IA sont rapidement adoptés sans approbation ni contrôle. Les dirigeants devraient déployer des outils qui détectent les fonctions d’IA intégrées et cartographient leur accès aux données en temps réel.
• L’interconnectivité des SaaS est à l’origine de menaces cachées : Les intégrations d’application à application utilisant OAuth et les API sont faciles à exploiter lorsqu’elles sont non autorisées ou oubliées. Les dirigeants doivent donner la priorité à la cartographie de l’intégration pour gérer l’exposition à travers la pile.
• La conformité échoue sous la prolifération des outils : Les employés qui utilisent des apps et des plateformes d’IA non validées compromettent le respect du GDPR, de SOC 2 et d’autres normes de conformité. Les dirigeants devraient adopter des systèmes qui vérifient en permanence la conformité interne et celle des fournisseurs.
• L’intégration laisse la porte ouverte : Les anciens employés conservent souvent l’accès aux outils et aux données de l’entreprise par le biais de jetons et d’intégrations. Les dirigeants doivent s’assurer que les processus automatisés d’intégration comprennent la détection et la révocation des comptes non surveillés.
• La visibilité est la porte d’entrée du contrôle : La pile technologique décentralisée ne peut pas être gérée avec une vision partielle. Les dirigeants doivent investir dans une surveillance complète qui couvre les applications autorisées, non autorisées, intégrées et évolutives afin de se protéger contre l’accélération des risques.