Spotifyのプレーヤーを読み込みます。SpotifyによりCookieが設定される場合があります。選択内容はこの端末に保存されます。
主な知見
- シャドーITを管理するための4つの異なる組織類型が特定され、それぞれにおいて無許可テクノロジーの利用レベルが異なること（ごくわずかから非常に頻繁まで）が明らかになった。
- シャドーITの利用者は、リスクを慎重に管理するITリテラシーの高い「目標志向型アクター（GOA）」と、より大きな脅威をもたらす認識の低い「フォロワー」の2つのタイプに分類される。
- 透明性のあるコミュニケーションと迅速なITサポートを通じてサイバーセキュリティポリシーをユーザーニーズと整合させることで、シャドーITの効果的な管理が可能となる。
- シャドーITの存在を受け入れること、専任のユーザー体験チームを設置すること、リスクを最小限に抑えつつ利点を活かすためにユーザータイプごとに異なる管理を行うことなど、10の実践的な提言が提示されている。
実践への示唆
CIO / IT役員
Establish a dedicated user experience team within IT to evaluate employee needs and streamline the formal approval process for new digital technologies.
ITマネージャー
Differentiate support strategies by identifying tech-savvy risk-managers versus less aware followers, providing targeted security guidance to the higher-risk group.
経営戦略担当者
Conduct an inventory of unauthorized digital technologies currently used across departments to integrate their core functionalities into official enterprise strategy.
研究者
Investigate how the four organizational archetypes for managing Shadow IT impact long-term enterprise innovation versus security incidents.
政策立案者
Draft regulatory frameworks that mandate clear organizational communication explaining the exact reasons behind cybersecurity rules and why their compliance is enforced.
要約
本研究は、企業がシャドーITと呼ばれる無許可のテクノロジー利用をどのように管理できるかを分析したものである。34社・44名の従業員へのインタビューを通じて、組織が採用する4つの典型的なアプローチを特定し、ITリーダーがセキュリティリスクと従業員のニーズを効果的に両立させるための10の提言を提示している。
課題
従業員は生産性向上のために未承認のアプリやサービス（シャドーIT）を頻繁に利用するが、これは情報漏洩やマルウェア感染といった重大なサイバーセキュリティリスクを生じさせる。企業は従業員の業務効率を損なうことなくこの慣行を排除することに苦慮している。セキュリティポリシーの適用とユーザーニーズの充足との間でいかにバランスを取るかが課題となっている。
文字起こし
Expert: よろしくお願いします。
Host: 今回取り上げる研究は、2024年の『MIS Quarterly Executive』に掲載された、Steffi Haag氏とAndreas Eckhardt氏による「サイバーセキュリティとユーザーニーズの双方の管理を通じたシャドーITへの効果的な対処」です。この研究では、組織が未承認のテクノロジー利用、いわゆるシャドーITにどのように対処できるかが分析されています。
Expert: シャドーITは、多くの企業においてセキュリティと業務効率の板挟みを生み出している重要なテーマです。
Host: では、具体的にどのような問題が生じているのか、詳しく教えていただけますか。
Expert: 従業員は業務の効率や生産性を高めるために、会社が承認していない外部のクラウドサービスやアプリケーションを頻繁に利用します。しかし、これは情報漏洩やマルウェア感染といった深刻なサイバーセキュリティリスクを引き起こします。
Host: 企業としてはセキュリティのために禁止したいところですが、厳しく制限しすぎると業務効率が損なわれてしまいますね。
Expert: その通りです。セキュリティポリシーの厳格な適用と、現場のユーザーニーズの充足との間で、どのようにバランスを取るかが大きな課題となっています。
Host: この課題に対して、本研究ではどのようなアプローチで調査が行われたのでしょうか。
Expert: 研究チームは、多様な業界に属する企業34社、合計44名の従業員を対象にインタビューを実施しました。実務の現場における利用実態と管理の実態を定性的に調査し、分析を行っています。
Host: その調査から、どのような結果が得られたのですか。
Expert: 主な発見として、まず組織がシャドーITを管理する姿勢には4つの類型が存在することが特定されました。それぞれの類型によって、組織内での無許可テクノロジーの利用頻度は、ごくわずかなものから非常に頻繁なものまで異なっています。
Host: 組織の姿勢によって利用実態に明確な差が出るのですね。利用する従業員側の特徴についても何か分かったのでしょうか。
Expert: はい、シャドーITの利用者は大きく2つのタイプに分類されます。1つは、高いITリテラシーを持ち、リスクを認識しながら業務目標のためにツールを選択する「目標志向型アクター」です。もう1つは、ツールのセキュリティリスクをあまり認識せず、同僚の真似をして使い始める「フォロワー」です。
Host: リスクの観点で見ると、その2つのタイプにはどのような違いがありますか。
Expert: 目標志向型アクターは自らリスクを慎重に管理する傾向がありますが、フォロワーはリスクへの認識が低いため、組織に対してより大きなセキュリティ脅威をもたらすことが示されています。
Host: では、組織はこれらにどのように対応すべきだと研究は述べていますか。
Expert: 透明性のあるコミュニケーションと迅速なITサポートを提供し、セキュリティポリシーをユーザーの実際のニーズと整合させることが、効果的な管理につながると結論付けています。
Host: ビジネスパーソンが明日から実践できる示唆としては、どのような点が挙げられますか。
Expert: 研究では10の実践的な提言が提示されています。重要なポイントの1つは、シャドーITを全面的に禁止して排除しようとするのではなく、その存在を受け入れた上で管理することです。
Host: 単なる禁止では根本的な解決にならないということですね。
Expert: そうです。例えば、従業員の業務上の不満や要望を早期に把握するための専任のユーザー体験チームを設置することや、ユーザーのタイプに応じた差別化された管理を行うことが推奨されています。
Host: 先ほど挙がった「目標志向型アクター」と「フォロワー」で対応を変えるわけですね。
Expert: その通りです。目標志向型アクターの活動からは有用なツールの知見を取り入れつつ、リスクの高いフォロワーには明確な教育や代替手段を提供するなど、画一的ではない対応がリスクを最小限に抑えながら利点を活かす道となります。
Host: セキュリティを確保しながら生産性を落とさないためには、現場のニーズを理解し、柔軟に運用することが重要だと分かりました。アレックスさん、分かりやすい解説をありがとうございました。
Expert: ありがとうございました。
Host: リスナーの皆様、最後までお聴きいただきありがとうございました。次回もどうぞお楽しみに。
Shadow IT, Cybersecurity, IT Governance, User Needs, Risk Management, Organizational Culture, IT Policy