Outils cloud sans gouvernance : votre entreprise est un immeuble dont vous n'avez plus toutes les clés

Personne n'a décidé d'ouvrir 40 portes. Elles se sont ouvertes toutes seules.

Cela commence toujours pareil. Un commercial teste un outil de signature électronique « juste pour un client ». Une assistante ouvre un compte WeTransfer pour envoyer un fichier trop lourd. Un chef de projet paie un outil de gestion de tâches avec la carte bleue du service, parce que « ça prend deux minutes et c'est que 12 € par mois ».

Aucune de ces décisions n'est mauvaise en soi. Ces outils rendent service, c'est bien pour cela qu'ils se diffusent. Le problème n'est pas l'outil. Le problème, c'est que personne ne tient le registre.

Selon l'étude State of SaaS Sprawl de Productiv, une entreprise utilise en moyenne quatre fois plus d'applications cloud que ce que son service informatique a recensé. Et ce n'est pas un sujet théorique : d'après le baromètre CESIN-OpinionWay de janvier 2025, 23 % des cyberattaques significatives subies par les entreprises françaises en 2024 ont impliqué du shadow IT, c'est-à-dire des outils utilisés hors du périmètre validé par l'entreprise. Près d'une attaque réussie sur quatre.

L'image à retenir : l'immeuble et le trousseau de clés

Imaginez votre entreprise comme un immeuble. Vos données (clients, devis, contrats, paie, savoir-faire) sont réparties dans les pièces.

Chaque outil cloud que vos équipes utilisent, c'est une porte d'entrée supplémentaire vers ces pièces. Le CRM, la messagerie, l'outil de facturation, le partage de fichiers, l'outil de signature, l'IA que le commercial utilise pour rédiger ses propositions : autant de portes.

Sans gouvernance, voici à quoi ressemble votre immeuble.

• 40 portes, dont vous n'en connaissez qu'une dizaine.
• Chaque porte a sa propre serrure : un identifiant et un mot de passe créés par le salarié, parfois avec son adresse personnelle.
• Aucun registre des clés : personne ne sait qui peut ouvrir quoi.
• Des copies de clés partout : le même mot de passe réutilisé sur plusieurs portes, noté dans un fichier Excel ou dans le navigateur d'un PC personnel.

Un cambrioleur n'a pas besoin de forcer la porte blindée de l'entrée principale. Il lui suffit de trouver la petite porte de service que tout le monde a oubliée.

Trois risques très concrets pour une PME

1. Le trousseau invisible : vous ne pouvez pas protéger une porte que vous ignorez

Votre prestataire informatique sécurise ce qu'il connaît : la messagerie, le serveur, les postes de travail. Mais l'outil de devis ouvert par un commercial il y a deux ans, avec les tarifs et le fichier clients dedans ? Personne ne le surveille, personne ne le met à jour, personne ne sait quelles données y dorment.

C'est exactement ce qui se produit aujourd'hui avec l'IA : le rapport IBM Cost of a Data Breach 2025 montre que le « shadow AI » (des outils d'IA utilisés sans validation) était impliqué dans 20 % des violations de données étudiées, avec un surcoût moyen de 670 000 $ par incident par rapport aux organisations qui en avaient peu ou pas. L'IA non gouvernée, c'est la dernière porte percée dans le mur, et souvent la plus fréquentée.

2. Les clés qui partent avec les salariés

Quand un collaborateur quitte l'entreprise, vous récupérez son badge, son ordinateur, ses clés physiques. Mais ses 15 comptes cloud ?

Si chaque outil a été créé indépendamment, il faut penser à couper l'accès outil par outil. Dans les faits, on en oublie toujours. Selon une enquête SailPoint, 37 % des collaborateurs déclarent pouvoir encore accéder à certains services en ligne de leur ancien employeur après leur départ. Un chiffre déclaratif, donc probablement sous-estimé.

Concrètement, cela donne : un ancien salarié qui consulte encore le CRM depuis son canapé, une adresse de récupération personnelle restée sur un compte critique, ou un outil de validation qui continue d'envoyer des notifications sur le téléphone de quelqu'un qui travaille désormais chez un concurrent. Sans intention malveillante la plupart du temps. Mais le jour où ce compte personnel est piraté, c'est votre porte qui s'ouvre.

3. Des serrures fragiles, et des copies de clés dans la nature

Le rapport Verizon DBIR 2025, qui analyse plus de 22 000 incidents de sécurité, est sans appel : le vol d'identifiants est le premier vecteur d'entrée des attaquants (22 % des violations), et 88 % des attaques contre les applications web utilisent des identifiants volés. Les pirates ne « hackent » pas votre porte : ils se connectent avec une clé volée, comme n'importe quel utilisateur légitime.

D'où viennent ces clés volées ? En grande partie des appareils non maîtrisés. Le même rapport révèle que parmi les machines infectées par des logiciels voleurs de mots de passe et contenant des identifiants professionnels, 46 % étaient des appareils non gérés par l'entreprise : typiquement le PC personnel sur lequel un salarié consulte aussi ses outils pro. Ajoutez à cela la réutilisation des mots de passe (en médiane, à peine la moitié des mots de passe d'un même utilisateur sont réellement différents d'un service à l'autre, toujours selon Verizon) : une seule clé volée ouvre plusieurs portes.

La solution : le badge unique et le registre

Bonne nouvelle : on ne résout pas ce problème en interdisant les outils cloud. On le résout comme un gestionnaire d'immeuble sérieux, en trois étapes.

1. Faire l'inventaire des portes

Avant toute chose : lister les outils réellement utilisés. Les relevés de carte bancaire et les factures fournisseurs sont souvent le meilleur point de départ. On découvre presque toujours des surprises, et au passage des abonnements payés en double.

2. Installer un badge unique : le SSO

Le SSO (Single Sign-On, ou authentification unique) remplace les 40 trousseaux de clés par un seul badge par personne. Chaque salarié se connecte à tous les outils raccordés avec son identité d'entreprise, protégée par une double vérification (le badge, plus un code sur le téléphone). Et surtout : le jour d'un départ, on désactive un badge, et toutes les portes raccordées se ferment en même temps. L'offboarding passe de 15 actions manuelles à une seule.

Soyons précis, car c'est là que beaucoup se font une fausse idée : le SSO ne protège que les outils qui y sont raccordés. Un badge unique ne sert à rien pour les portes dont vous ignorez l'existence. C'est pour cela que l'inventaire vient avant, et que la gouvernance est un processus continu, pas un projet qu'on termine.

Le revers du badge unique, assumons-le : il concentre le risque. Un badge qui ouvre toutes les portes est aussi la cible la plus rentable pour un cambrioleur. Et la technique a évolué : le pirate ne crochète plus la serrure, il vous fait badger sur une fausse porte. Un faux portail de connexion, copie parfaite du vrai, relaie tout en temps réel, y compris le code de double vérification que vous tapez vous-même. Une fois entré, l'attaquant repart avec votre laissez-passer du jour (la session ouverte) et n'a plus besoin ni du badge ni du code. Et la boîte mail est la pire des portes à perdre : c'est la loge du gardien, celle qui permet de refaire les clés de presque tous les autres services par simple réinitialisation de mot de passe. Soyons justes : la double vérification classique reste indispensable et bloque l'essentiel des attaques automatisées. Mais face à un hameçonnage bien mené, elle ne suffit plus pour les comptes les plus sensibles. Le badge unique n'est donc une bonne idée que s'il est le maillon le plus solide de l'immeuble : c'est exactement le rôle de la clé qui ne se copie pas (ci-dessous) et du gardien à l'entrée (plus loin).

Pour aller plus loin : la clé qui ne se copie pas

La double vérification par code SMS a une faiblesse : un code peut vous être soutiré. Un faux site suffisamment convaincant, et c'est vous-même qui le tapez chez le pirate. La clé de sécurité physique (un petit boîtier qui rejoint votre trousseau, norme FIDO2) supprime ce risque : elle refuse tout simplement de fonctionner ailleurs que sur le site légitime. Impossible de la copier, impossible de se la faire « prêter » par téléphone. Pour les comptes qui ouvrent toutes les autres portes, comme la messagerie ou les comptes d'administration, c'est l'option que nous recommandons.

Et les portes techniques anciennes ?

Certains accès n'ont jamais été pensés pour le badge : la prise en main à distance des serveurs, par exemple. Une passerelle d'accès permet de les placer eux aussi derrière le badge unique et sa double vérification. Même la porte de service qui n'avait jamais eu de lecteur passe désormais par l'entrée principale. Précision qui compte : la passerelle met un contrôle devant la porte, elle ne dispense pas d'entretenir la porte elle-même. Le serveur qui se trouve derrière doit rester à jour.

3. Ne laisser entrer que les véhicules connus au parking

Vos données ne doivent être accessibles que depuis des appareils que vous maîtrisez : chiffrés, à jour, verrouillables à distance en cas de perte. C'est la gestion des terminaux (les fameux endpoints). Le PC familial partagé avec les enfants n'a rien à faire sur votre CRM, et les chiffres Verizon ci-dessus montrent que ce n'est pas une précaution théorique.

Et pour orchestrer le tout : le gardien à l'entrée

Techniquement, cela s'appelle l'accès conditionnel. À chaque connexion, et non une fois pour toutes, le gardien vérifie trois choses : le badge (votre identité, protégée par la double vérification ou la clé qui ne se copie pas), la carte grise (cet appareil est-il enregistré par l'entreprise ?) et le contrôle technique (est-il conforme à l'instant T : chiffré, à jour, verrouillage actif ?). La distinction compte : un appareil enregistré qui perd sa conformité, par exemple une mise à jour de sécurité manquante, reste dehors jusqu'à ce qu'il soit réparé. Il ne suffit plus de posséder une clé : il faut être la bonne personne, sur le bon appareil, en bon état.

Les 5 questions à vous poser cette semaine

• Combien d'outils cloud utilisons-nous réellement ? Si la réponse vient de mémoire et non d'un inventaire, elle est fausse.
• Qui a accès à quoi ? Existe-t-il un registre des accès, tenu à jour ?
• Que se passe-t-il le jour où un salarié part ? Combien de comptes faut-il couper, qui s'en charge, en combien de temps ?
• Nos outils critiques sont-ils derrière un badge unique avec double vérification et des règles d'accès (qui, depuis quel appareil, dans quelles conditions) ? CRM, comptabilité, messagerie, partage de fichiers au minimum.
• Depuis quels appareils accède-t-on à nos données ? Uniquement du matériel maîtrisé par l'entreprise, ou aussi des PC et téléphones personnels ?

Si vous séchez sur deux de ces questions ou plus, votre immeuble a des portes que vous ne surveillez pas.

Reprendre les clés, sans bloquer vos équipes

Chez Fiduinfo, nous accompagnons les PME sur exactement ce chemin : inventaire des outils réellement utilisés, mise en place d'un badge unique (SSO) avec double authentification, procédure d'arrivée et de départ des collaborateurs, et maîtrise des appareils. L'objectif n'est jamais d'interdire, mais de garder les bénéfices du cloud en reprenant le trousseau de clés.