Shadow IT

Comment ça marche

Le shadow IT mobile naît presque toujours d'un manque. Une équipe commerciale a besoin de signer un document, alors quelqu'un installe une application de signature gratuite. Des techniciens doivent partager des photos de chantier, alors un groupe WhatsApp se crée avec le nom du client. Un service achat a besoin de convertir un PDF, alors le fichier part sur un site web qui le garde.

Trois vecteurs dominent. Les applications grand public installées sur un appareil professionnel non géré. Les comptes personnels utilisés sur des applications professionnelles, en particulier le stockage en ligne, qui font sortir les documents du périmètre de l'entreprise sans qu'aucune règle ne soit violée techniquement. Et les appareils personnels non enrôlés qui lisent la messagerie d'entreprise.

La détection n'est pas mystérieuse. L'inventaire d'applications remonté par un MDM sur les appareils enrôlés donne la liste réelle de ce qui tourne. Les journaux du proxy ou d'un CASB montrent les services cloud contactés. Le fournisseur d'identité montre les applications tierces auxquelles des utilisateurs ont accordé un consentement OAuth, un angle mort fréquent. Ce qui ne se voit pas, en revanche, c'est ce qui se passe sur un appareil qui n'est dans aucun inventaire.

Pourquoi c'est important pour une flotte

Le risque n'est pas l'application en soi, c'est la perte de réversibilité. Quand un collaborateur part, vous fermez son compte Microsoft et son accès VPN. Vous ne fermez pas le compte gratuit qu'il a créé sur un outil de prise de notes où il a recopié des comptes rendus clients. Côté RGPD, ces traitements n'existent dans aucun registre et aucun contrat de sous-traitance ne les couvre.

L'erreur de réaction, c'est l'interdiction sèche. Bloquer l'application la plus utilisée sans proposer d'équivalent ne supprime pas le besoin, il le déplace sur le téléphone personnel, là où vous ne voyez plus rien. Les déploiements qui réduisent vraiment le shadow IT commencent par lister ce que les gens utilisent, comprendre pourquoi, et publier une alternative dans un catalogue officiel.

Un indicateur simple à suivre : le délai entre une demande d'application et sa mise à disposition. Au-delà de quelques semaines, les équipes se débrouillent seules. C'est mécanique.

Comment Appaloosa le gère

Appaloosa donne les deux moitiés de la réponse. La visibilité d'abord : l'inventaire des applications installées sur chaque appareil enrôlé, avec des règles de conformité qui signalent ou bloquent les applications interdites. L'offre ensuite : un app store d'entreprise qui réunit les applications publiques via managed Google Play et Apple VPP et vos applications internes, affectées par groupe, avec configuration gérée et retrait en une action. Le périmètre est décrit sur la page gestion des applications mobiles.