سازمان‌ها چگونه می‌توانند هنگام مدیریت فناوری‌های غیرمجاز، تعادلی مؤثر میان خطرات امنیت سایبری و نیازهای کارکنان برقرار کنند؟

Host: سلام و به این شماره از پادکست A.I.S. Insights خوش آمدید. من آنا آیوی سامرز هستم و امروز به همراه همکارم، الکس ایان ساترلند، به بررسی یک مطالعه تجاری می‌پردازیم. این مطالعه که توسط Steffi Haag و Andreas Eckhardt در سال ۲۰۲۴ در نشریه MIS Quarterly Executive منتشر شده است، «مواجهه مؤثر با فناوری اطلاعات سایه از طریق مدیریت هم‌زمان امنیت سایبری و نیازهای کاربران» نام دارد. محور اصلی این مطالعه بررسی نحوه مواجهه شرکت‌ها با نرم‌افزارها و ابزارهای غیرمجازی است که کارکنان به کار می‌گیرند؛ پدیده‌ای که با عنوان فناوری اطلاعات سایه شناخته می‌شود. الکس، خوش آمدید.
Expert: ممنون آنا. سلام به شما و شنوندگان گرامی.
Host: الکس، بیایید از صورت‌مسئله آغاز کنیم. چرا استفاده از ابزارهای غیرمجاز در محیط‌های کاری به یکی از چالش‌های مکرر مدیران تبدیل شده است؟
Expert: چالش از تضاد میان دو هدف سازمانی شکل می‌گیرد: بهره‌وری و امنیت. کارکنان اغلب برای تسهیل و سرعت بخشیدن به وظایف کاری خود، از برنامه‌ها و خدمات ابری تأییدنشده استفاده می‌کنند، زیرا سامانه‌های رسمی سازمان ممکن است نیازهای شغلی آن‌ها را به سرعت یا به شکلی منعطف برآورده نکنند. با این حال، استفاده از این ابزارهای تأییدنشده خطرات جدی امنیت سایبری، از جمله نشت اطلاعات و نفوذ بدافزارها را افزایش می‌دهد. ایجاد ممنوعیت مطلق باعث نارضایتی یا افت کارایی کارکنان می‌شود و از سوی دیگر، نادیده گرفتن آن ساختار دفاعی داده‌های سازمان را تضعیف می‌کند. مسئله اصلی، پیدا کردن توازن میان اعمال کنترل‌های امنیتی و حفظ بهره‌وری کاربران است.
Host: نویسندگان برای بررسی این توازن، از چه روشی در این مطالعه استفاده کردند؟
Expert: آن‌ها یک رویکرد کیفی میدانی را به کار گرفتند و با ۴۴ کارمند در ۳۴ سازمان مصاحبه‌های دقیق انجام دادند. این تنوع نمونه به پژوهشگران اجازه داد تا نحوه برخورد شرکت‌های مختلف با فناوری اطلاعات سایه و واکنش‌های رفتاری کارکنان را در سطوح مختلف بررسی کنند.
Host: یافته‌های به‌دست‌آمده از این مصاحبه‌ها چه مواردی را روشن ساخت؟
Expert: این مطالعه چهار کهن‌الگوی سازمانی را در زمینه مدیریت فناوری اطلاعات سایه مشخص کرد. بسته به اینکه سازمان‌ها چقدر در اعمال سیاست‌های امنیتی سخت‌گیر هستند و چه اندازه به نیازهای فناورانه کاربران پاسخ می‌دهند، فراوانی استفاده از فناوری اطلاعات سایه از بسیار کم تا بسیار متداول متغیر است. همچنین مطالعه نشان داد که کاربران ابزارهای غیرمجاز همگن نیستند و به دو دسته تقسیم می‌شوند: دسته اول، «کنشگران هدف‌محور» هستند که مهارت فنی بالایی دارند، مستقیماً برای رسیدن به اهداف کاری مشخص از این ابزارها کمک می‌گیرند و ریسک‌ها را با دقت بیشتری مدیریت می‌کنند. دسته دوم، «دنبال‌کنندگان» هستند که سواد امنیتی کمتری دارند و صرفاً از ابزارهایی که دیگران پیشنهاد داده‌اند استفاده می‌کنند؛ این گروه تهدید امنیتی به مراتب بالاتری ایجاد می‌کنند.
Host: این دسته‌بندی رفتار کاربران برای هدایت محیط‌های کاری بسیار کاربردی به نظر می‌رسد. چه نتیجه‌ای از این داده‌ها در زمینه مدیریت بهینه گرفته شده است؟
Expert: نتیجه کلیدی این است که مهار اثربخش این پدیده، نیازمند همسو کردن سیاست‌های امنیت سایبری با نیازهای ملموس کارکنان است. زمانی که واحد فناوری اطلاعات پاسخگو باشد و ارتباطات شفافی درباره چرایی ریسک‌ها برقرار کند، کارکنان کمتر به سمت راه‌حل‌های غیرمجاز پنهانی حرکت می‌کنند.
Host: از منظر اجرایی، مدیران سازمان‌ها و رهبران فناوری چه راهکارهایی را می‌توانند از این مطالعه برداشت کنند؟
Expert: مطالعه ۱۰ توصیه عملیاتی برای رهبران سازمان ارائه می‌کند. نخست، پذیرش این واقعیت که نمی‌توان فناوری اطلاعات سایه را به‌طور کامل به صفر رساند، زیرا گاهی نمایانگر نیازهای نوآورانه در روند کار است. دوم، مدیریت متمایز انواع کاربران است؛ به این معنا که تمرکز نظارت و آموزش‌های امنیتی باید بیشتر معطوف به «دنبال‌کنندگان» شود، در حالی که می‌توان از ایده‌های «کنشگران هدف‌محور» برای به‌روزرسانی ابزارهای رسمی استفاده کرد. همچنین ایجاد تیم‌های متمرکز بر تجربه کاربری در بخش فناوری اطلاعات پیشنهاد شده است تا شکاف بین نیازهای روزمره کارمندان و سامانه‌های سازمان کاهش یابد.
Host: بسیار روشن است؛ پاسخ به فناوری اطلاعات سایه صرفاً ممنوعیت نیست، بلکه نیازمند شناخت الگوهای رفتاری کاربران، تفکیک ریسک‌ها و بهبود تعامل درون‌سازمانی است. الکس، از تحلیل و توضیحات شما سپاسگزارم.
Expert: خواهش می‌کنم، آنا.
Host: از همراهی شما شنوندگان عزیز با این شماره از A.I.S. Insights متشکریم. تا قسمت بعدی خدانگهدار.