Juste avant No\u00ebl dernier, dans une affaire in\u00e9dite, JPMorgan a \u00e9t\u00e9 condamn\u00e9 \u00e0 une amende de 200 millions de dollars pour des employ\u00e9s utilisant des applications non autoris\u00e9es pour communiquer sur la strat\u00e9gie financi\u00e8re. Aucune mention de d\u00e9lit d’initi\u00e9, de court-circuit nu ou de toute malveillance. Juste des employ\u00e9s qui contournent la r\u00e9glementation en utilisant, eh bien, le Shadow IT. Non pas parce qu’ils ont essay\u00e9 d’obscurcir ou de cacher quoi que ce soit, simplement parce que c’\u00e9tait un outil pratique qu’ils pr\u00e9f\u00e9raient \u00e0 tout autre produit sanctionn\u00e9 (dont JPMorgan poss\u00e8de certainement un certain nombre). <\/p>\n
La visibilit\u00e9 sur les applications inconnues et non autoris\u00e9es est exig\u00e9e par les r\u00e9gulateurs et \u00e9galement recommand\u00e9e par la communaut\u00e9 Center for Internet Security depuis longtemps. Pourtant, il semble que de nouvelles et meilleures approches soient toujours en demande. Gartner a identifi\u00e9 la gestion de la surface d’attaque externe, le risque de la cha\u00eene d’approvisionnement num\u00e9rique et la d\u00e9tection des menaces d’identit\u00e9 comme les trois principales tendances sur lesquelles se concentrer en 2022, qui sont toutes \u00e9troitement li\u00e9es au Shadow IT.<\/p>\n
Les \u00ab identifiants fant\u00f4mes \u00bb, ou en d’autres termes, les identit\u00e9s et comptes d’employ\u00e9s non g\u00e9r\u00e9s dans des services tiers sont souvent cr\u00e9\u00e9s \u00e0 l’aide d’un simple enregistrement bas\u00e9 sur un e-mail et un mot de passe. Les CASB et les solutions SSO d’entreprise sont limit\u00e9es \u00e0 quelques applications sanctionn\u00e9es et ne sont pas non plus largement adopt\u00e9es sur la plupart des sites Web et des services. Cela signifie qu’une grande partie de la surface externe d’une organisation \u2013 ainsi que les identit\u00e9s de ses utilisateurs \u2013 peut \u00eatre compl\u00e8tement invisible. <\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1656330691_537_Que-sont-les-Shadow-ID-et-en-quoi-sont-ils-cruciaux.jpg\")
<\/div>\nSurtout, ces identifiants fant\u00f4mes restent non g\u00e9r\u00e9s m\u00eame apr\u00e8s que les employ\u00e9s ont quitt\u00e9 l’organisation. Cela peut entra\u00eener un acc\u00e8s non autoris\u00e9 aux donn\u00e9es sensibles des clients ou \u00e0 d’autres services bas\u00e9s sur le cloud. Les identit\u00e9s cr\u00e9\u00e9es par les employ\u00e9s, mais li\u00e9es \u00e0 l’entreprise, sont \u00e9galement invisibles pour la plupart des outils IDM\/IAM. Le cimeti\u00e8re de comptes oubli\u00e9s appartenant \u00e0 d’anciens salari\u00e9s ou de candidatures abandonn\u00e9es s’agrandit chaque jour, \u00e0 l’infini. <\/p>\n
Et parfois, les morts sortent de leur tombe, comme dans le cas de la Commission mixte d’\u00e9thique publique, dont le syst\u00e8me h\u00e9rit\u00e9 a \u00e9t\u00e9 pirat\u00e9 cette ann\u00e9e, m\u00eame s’il est hors d’usage depuis 2015. Ils ont l\u00e9gitimement inform\u00e9 leurs anciens utilisateurs, car ils comprennent que la r\u00e9utilisation des mots de passe peut s’\u00e9tendent sur plusieurs ann\u00e9es, et selon Verizon, les informations d’identification vol\u00e9es sont toujours le principal contributeur \u00e0 toutes sortes de violations et d’attaques. Ainsi, lorsque les Shadow ID sont laiss\u00e9s pour compte, ils cr\u00e9ent un risque \u00e9ternel invisible et non g\u00e9r\u00e9 par quiconque. <\/p>\n
Comment faire un rapport sur le Shadow IT et les Shadow ID ?<\/strong><\/h2>\nMalheureusement, la surveillance du r\u00e9seau passe \u00e0 c\u00f4t\u00e9 de la cible, car ces outils sont con\u00e7us pour filtrer le trafic malveillant, fournir une protection contre les fuites de donn\u00e9es et cr\u00e9er des r\u00e8gles de navigation bas\u00e9es sur des cat\u00e9gories. Cependant, ils sont compl\u00e8tement aveugles aux connexions r\u00e9elles et ne peuvent donc pas diff\u00e9rencier la navigation, les comptes priv\u00e9s et les inscriptions aux applications d’entreprise (ou les sites de phishing d’ailleurs). Pour d\u00e9couvrir et g\u00e9rer les Shadow ID et le Shadow IT, il faut mettre en place une surveillance au niveau des applications et des comptes, qui peut cr\u00e9er une source fiable et mondiale de v\u00e9rit\u00e9 dans l’ensemble de l’organisation. <\/p>\n
La d\u00e9couverte de ces actifs via la surveillance de l’utilisation des informations d’identification li\u00e9es \u00e0 l’entreprise sur n’importe quel site Web permet une vue unifi\u00e9e des applications non autoris\u00e9es ou ind\u00e9sirables. Les inventaires d’applications et de comptes offrent une visibilit\u00e9 sur l’\u00e9tendue r\u00e9elle des services externes et des identit\u00e9s utilis\u00e9es dans l’ensemble de l’organisation. En outre, ils permettent l’examen des fournisseurs tiers sur leurs politiques, leurs mesures de s\u00e9curit\u00e9 et d’authentification, et sur la mani\u00e8re dont ils g\u00e8rent et maintiennent vos donn\u00e9es.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1656330691_20_Que-sont-les-Shadow-ID-et-en-quoi-sont-ils-cruciaux.jpg\")
<\/div>\nIl est impossible de cat\u00e9goriser correctement tous les 250\u00a0000\u00a0nouveaux domaines qui sont enregistr\u00e9s chaque jour dans le monde. La bonne approche consiste donc \u00e0 surveiller ceux qui apparaissent sur nos terminaux. Comme effet secondaire, r\u00e9v\u00e9ler les connexions sur des applications suspectes ou nouvelles donner de la visibilit\u00e9 sur les attaques de phishing r\u00e9ussies<\/strong><\/a> qui n’ont pas \u00e9t\u00e9 emp\u00each\u00e9s sur une passerelle ou c\u00f4t\u00e9 client, et o\u00f9 les employ\u00e9s ont donn\u00e9 des informations d’identification importantes.<\/p>\nScirge est un outil bas\u00e9 sur un navigateur<\/strong><\/a> qui offre une visibilit\u00e9 compl\u00e8te sur les Shadow ID et Shadow IT, l’hygi\u00e8ne des mots de passe pour les comptes Web d’entreprise et tiers, et m\u00eame l’\u00e9ducation et la sensibilisation des employ\u00e9s en temps r\u00e9el. Et il a aussi une version enti\u00e8rement gratuite<\/strong><\/a> pour auditer votre empreinte cloud, afin que vous puissiez avoir une vue imm\u00e9diate de l’\u00e9tendue du Shadow IT parmi vos employ\u00e9s.<\/p>\n<\/p>\n<\/div>\n
<\/div>\nIl est impossible de cat\u00e9goriser correctement tous les 250\u00a0000\u00a0nouveaux domaines qui sont enregistr\u00e9s chaque jour dans le monde. La bonne approche consiste donc \u00e0 surveiller ceux qui apparaissent sur nos terminaux. Comme effet secondaire, r\u00e9v\u00e9ler les connexions sur des applications suspectes ou nouvelles donner de la visibilit\u00e9 sur les attaques de phishing r\u00e9ussies<\/strong><\/a> qui n’ont pas \u00e9t\u00e9 emp\u00each\u00e9s sur une passerelle ou c\u00f4t\u00e9 client, et o\u00f9 les employ\u00e9s ont donn\u00e9 des informations d’identification importantes.<\/p>\n Scirge est un outil bas\u00e9 sur un navigateur<\/strong><\/a> qui offre une visibilit\u00e9 compl\u00e8te sur les Shadow ID et Shadow IT, l’hygi\u00e8ne des mots de passe pour les comptes Web d’entreprise et tiers, et m\u00eame l’\u00e9ducation et la sensibilisation des employ\u00e9s en temps r\u00e9el. Et il a aussi une version enti\u00e8rement gratuite<\/strong><\/a> pour auditer votre empreinte cloud, afin que vous puissiez avoir une vue imm\u00e9diate de l’\u00e9tendue du Shadow IT parmi vos employ\u00e9s.<\/p>\n <\/p>\n<\/div>\n