Il est difficile d’aborder le problème des licences inutilisées sans l’imbriquer dans un autre problème, celui du shadow IT. Ces deux inconvénients majeurs pour les services informatiques sont intrinsèquement liés.
Les licences inutilisées sont une source de préoccupation majeure au sein des entreprises.
Les coûts qui découlent de cet inconnu sont énormes et les responsables informatiques ainsi que les DSI ont besoin d’ajuster finement les licences afin de retrouver du budget sur d’autres postes.
Le shadow IT vient, en plus, s’inviter à la danse.
La gestion des licences est un véritable défi pour la DSI
En entreprise, le nerf de la guerre, ce sont les outils de travail. Prenez un bon collaborateur et donnez-lui des mauvais outils, il va perdre du temps et proposer un travail de moyenne qualité. Donnez-lui de bons outils et il va sur performer.
Penchons-nous plus spécifiquement sur les outils tels que les applications et regardons les enjeux. La DSI a à cœur de participer à la productivité des collaborateurs avec une forte pression de la direction qui a en tête la compétitivité de l’entreprise.
Il est très facile d’installer une solution en SaaS, les utilisateurs le font au quotidien. Ils vont sur leur app store et l’application est installée avec simplicité, réactivité et efficacité.
Pourquoi iraient-ils changer leurs habitudes au travail ? Ils se sentent plus efficaces de cette façon. Ils installent une application, la testent et si elle ne répond pas à leur besoin, hop, ils en essayent une autre. Souvent la première n’est pas désinstallée.
Selon une étude du cabinet Frost & Sullivan, 80% des utilisateurs utilisent des solutions sans l’accord de la DSI.
La DSI pour sa part est coincée. Elle doit gérer les licences logicielles, répondre aux besoins des utilisateurs et surtout gérer un gros manque de connaissance des utilisateurs.
Les utilisateurs installent des applications dans leur vie privée sans se poser de questions de paramétrages : suivant, suivant, je valide, suivant, je consens et hop, l’application est installée !
Sauf que pour la DSI, ceci est une catastrophe, car le paramétrage par défaut ne peut pas coller dans le monde de l’entreprise.
Les utilisateurs ne sont pas du tout à même de paramétrer les applications qu’ils téléchargent ou utilisent puisqu'ils n’ont pas en tête la protection des données, ni la politique IT de l’entreprise.
Alors la DSI fournit des applications paramétrées par ses propres soins aux utilisateurs.
À partir de là, deux problèmes découlent :
- Comment connaître la réelle utilisation des applications ?
- Comment retrouver les licences inutilisées d’utilisateurs partis qui n’ont jamais été réattribuées et d’utilisateurs présents qui ne les utilisent pas ?
Menée auprès de 200 responsables IT aux États-Unis, Europe, Moyen-Orient et Afrique, l’étude de Nexthink montre le flou dans lequel les responsables IT naviguent.
Quelles conséquences pour une mauvaise gestion des licences ?
- Augmentation des coûts : une mauvaise gestion des licences peut entraîner des dépenses sur des licences non utilisées et l’achat de licences sur un logiciel similaire dont le contrat n’aura pas été négocié par l’entreprise. Exemple d’une entreprise qui aurait 5 000 collaborateurs et qui auraient une solution à 100€ par mois avec 500 collaborateurs qui ne l’utiliseraient pas, donc 10% de la masse salariale. Cela représente une perte de 600 000€ par an.
- Failles de sécurité : une licence peut être utilisée par plusieurs utilisateurs avec un compte partagé. Le compte devient très fragile par la connaissance du mot de passe et le peu de protection appliquée. Le shadow IT*, lui aussi, est à l’origine d’une brèche dans la sécurité puisqu’on fait entrer, dans le périmètre de l’entreprise, un logiciel tiers non supervisé par le service IT.
- Mises à jour manquantes : si les licences ne sont pas correctement gérées, les mises à jour critiques et les correctifs de sécurité peuvent ne pas être appliqués, ce qui peut entraîner des vulnérabilités et des problèmes de sécurité.
- Responsabilité juridique : une mauvaise gestion des licences peut également entraîner des problèmes juridiques si des droits d'auteur ou des brevets sont violés.
- Perte de productivité : une mauvaise gestion des licences peut entraîner une perte de productivité, car les employés peuvent ne pas être en mesure d'accéder aux outils dont ils ont besoin. Un autre aspect se trouve aussi sur l’utilisation de différents logiciels couvrant le même aspect et qui sont donc incompatibles entre équipes de la même entreprise.
- Augmentation des tickets : les applications SaaS tiers représentent de très nombreux tickets et ces derniers ne sont pas rapides à résoudre puisque l’équipe informatique n’est pas familière avec.
- RGPD : une utilisation d’applications non conforme aux règles RGPD en vigueur dans une entreprise peut mettre en péril la conformité de l’entreprise avec la loi.
*Rappel rapide de ce qu’est le shadow IT :
Tous les logiciels et applications qui sont utilisés par les utilisateurs dans le cadre professionnel en dehors du contrôle de la DSI.
Cela créé :
- une menace importe sur la sécurité de l’entreprise vis-à-vis des données
- une gestion des droits d’accès impossible à réaliser
- des erreurs et des doublons puisque chacun utilise sa propre solution
- des coûts cachés car le collaborateur va utiliser un logiciel souvent au détriment d’un autre ‘officiel’.
Pourquoi est-ce problématique d’avoir des applications du grand public utilisées à des fins professionnelles ?
Les applications publiques n’ont pas le même business model que les applications privées. Si les dernières se rémunèrent grâce à la tarification de leur produit, les premières collectent les données de leurs utilisateurs pour les revendre. Et là, les problèmes de sécurité et de confidentialité pointent leur nez !
Pire, si les solutions publiques se font hacker, car elles sont souvent moins rigoureuses dans leur sécurité que des applications professionnelles, les données deviennent publiques.
Pourquoi une application n’est pas utilisée ?
Si une licence n’est pas utilisée, c’est probablement que le logiciel ou l’application ne remporte pas l’adhésion des équipes. Le problème est donc double :
- il n’y a pas de besoin et un logiciel est présent mais ne sert à rien. Donc l’entreprise paye des licences pour rien.
- il y a bien un besoin mais ce logiciel n’est pas le plus plébiscité par les équipes et elles en utilisent un autre. Cela créé du shadow IT + des licences payées pour rien + une autre application payée, pas encadrée par l’IT et des tarifs pas négociés à l’échelle de l’entreprise.
Vous souhaitez recevoir notre livre blanc sur la gestion des identités et des accès ?
Comment améliorer la gestion des licences applicatives ?
Maintenant, qu’est-ce qu’on fait ? On a vu que la situation n’était pas idyllique, je pense que tout le monde le savait déjà un peu mais comment fait-on pour solutionner cet épineux problème.
De nombreuses entreprises ont opté pour une solution moins frontale que de vouloir maîtriser le shadow IT, ce qui à mon sens est peine perdue.
Elles ont choisi d’intégrer un BYOD, Bring Your Own Device, dans leur plan informatique. L’utilisateur peut alors, dans un cadre bien défini, installer les solutions qui lui conviennent. La liberté accordée permet une meilleure relation DSI/utilisateur et n’entrave pas à la productivité. La confiance s’installe et permet d’aller dans le sens de l’utilisateur qui sera plus enclin à aller voir le service informatique pour installer de nouvelles applications.
Si une entreprise n’assouplit pas sa politique sur les applications et logiciels, l’utilisateur contournera inévitablement les règles imposées par l’entreprise en utilisant des applications non cryptées qui offrent des failles dans la sécurité des données traitées dans l’entreprise.
Cependant, la CNIL met en garde contre ce genre de pratique qui efface les frontières entre vie professionnelle et vie privée et logiciel professionnel et privé.
Il sera alors important d’avoir un dialogue ouvert avec les équipes afin de trouver un bon équilibre entre les besoins, la sécurité, la flexibilité et le respect de la vie privée.
La détection et la suspension des licences
On touche ici à un sujet sensible. Oui, l’idéal sera la détection automatique des licences, avec un retour sur leur taux d’utilisation et la suspension automatique de toutes licences inutilisées ou sous-utilisées.
Il existe des solutions plus ou moins performantes et plus ou moins efficaces dans ce travail.
Il existe aussi une méthode manuelle qui consiste à travailler en collaboration avec la comptabilité pour retrouver l’ensemble des factures liées à des licences applicatives.
Il peut être envisageable d’envoyer un fichier partagé pour y recenser l’ensemble des applications utilisées au sein de chaque équipe. Cela ne peut se faire que dans des PME ou des ETI car au-delà, cela devient compliqué. Le risque d’erreur est toujours présent néanmoins.
À chaque fois que le support est contacté pour l’aide d’une solution non répertoriée, il sera nécessaire de prendre l’habitude de la répertorier.
Pour les logiciels comportant une connexion API vous pouvez surveiller les schémas d’utilisations.
Pour la suspension des licences cela pose parfois problème, vous savez qu’un utilisateur part mais vous ne voulez pas clôturer son compte trop rapidement car vous souhaitez conserver les données du compte quelque temps.
Pour exemple, pour Microsoft 365 vous pouvez suspendre le compte mais la licence continuera de tourner et ne sera pas récupérable. Il faut donc convertir le compte en shared mail box pour l’archiver et retrouver la licence.
Souvent, la DSI n’est pas informée du départ d’un collaborateur, donc la suspension ou la suppression du compte n’est pas faisable.
Il existe des solutions d’IAM comme Youzer pour réaliser un scan permanent de votre IT et détecter les licences inutilisées d’utilisateurs partis et qui vous permettent de récupérer par la suite la licence. Une solution de management des accès vous permet de mettre en place un workflow à chaque départ d’un collaborateur (départ qui vous sera notifié automatiquement grâce à une synchronisation aux données RH).
La formation et la sensibilisation
Pour limiter le shadow IT, il n’y a pas de secret, il faut avoir de son côté les collaborateurs qui sont à l’origine de cette pratique.
La formation et la sensibilisation aux problématiques engendrées par le shadow IT seront ainsi à l’ordre du jour. Il ne sera pas question de faire des grands discours soporifiques, mais bien de contextualiser le shadow IT et d’impliquer les collaborateurs. De trouver des solutions utilisateurs / DSI afin que tout le monde puisse s’y retrouver. Il faudra aussi parler des problèmes de coûts de licences et de danger du shadow IT.
On peut envisager par exemple de développer une relation de confiance avec des personnes relais qui exprimeront les besoins de chaque métier et les feront remonter.
Les équipes informatiques pourront accompagner les équipes métiers sur certaines solutions afin de leur en montrer le plein potentiel. Ils pourront mettre en application des cas concrets qui pourront remporter l’adhésion des équipes.
La DSI peut aussi mettre en avant qu’une aide plus rapide sera apportée sur les applications qui sont dans le cadre de la DSI. A contrario, l’aide apportée sur des solutions tierces sera plus lente, non pas par vengeance, mais par manque de connaissance immédiate.
Enfin, mettre en place une politique claire et des process rapides sur les nouvelles demandes d’applications dans les services faciliterait grandement la conformité à l’utilisation d’applications qui sont hors du cadre de la DSI.
La gestion des licences est un enjeu majeur dans les entreprises. Environ 30 à 40% des dépenses logicielles dans une entreprise ne viennent pas du budget de l’informatique.
Retrouver une maîtrise de ses licences et encadrer le shadow IT est une nécessité dans les entreprises.
Youzer peut vous aider pour gérer vos utilisateurs, leurs comptes et leurs applications. Youzer détecte automatiquement l’ensemble des licences rattachées à une application et met en lumière les licences inutilisées.
