加载 Spotify 播放器；Spotify 可能会设置 Cookie。本设备将记住您的选择。
主要发现
- 确定了管理影子IT的四种不同组织原型，每种原型都会导致不同程度的未经授权技术使用（从极少到非常频繁）。
- 影子IT用户被划分为两类：精通技术且能谨慎管理风险的“目标导向型行动者”（GOA），以及安全意识较弱且构成更大威胁的“追随者”。
- 通过透明的沟通和积极响应的IT支持，使网络安全策略与用户需求保持一致，能够实现对影子IT的有效管理。
- 该研究提出了10条实用建议，包括接纳影子IT的存在、建立专门的用户体验团队，以及对不同类型的用户实行差异化管理，从而在将风险降至最低的同时充分发挥其效益。
实践启示
CIO / IT 高管
Establish a dedicated user experience team within IT to evaluate employee needs and streamline the formal approval process for new digital technologies.
IT 经理
Differentiate support strategies by identifying tech-savvy risk-managers versus less aware followers, providing targeted security guidance to the higher-risk group.
商业战略师
Conduct an inventory of unauthorized digital technologies currently used across departments to integrate their core functionalities into official enterprise strategy.
研究人员
Investigate how the four organizational archetypes for managing Shadow IT impact long-term enterprise innovation versus security incidents.
政策制定者
Draft regulatory frameworks that mandate clear organizational communication explaining the exact reasons behind cybersecurity rules and why their compliance is enforced.
摘要
本研究分析了企业如何管理被称为“影子IT”（Shadow IT）的未经授权技术的使用。通过对34家企业的44名员工进行访谈，该研究确定了组织所采取的四种常见应对方式，并为IT管理者提供了10条建议，以有效平衡安全风险与员工需求。
核心问题
员工经常使用未经批准的应用程序和服务（影子IT）来提高工作效率，但这带来了数据泄露和恶意软件感染等重大网络安全风险。企业在不影响员工工作效率的前提下难以彻底消除这一现象。其核心挑战在于如何在执行安全策略与满足用户需求之间找到平衡。
文稿
Expert: 谢谢 Anna。这项研究关注的是许多企业日常面临的现实困境：影子IT，也就是员工在没有获得组织IT部门明确批准的情况下，自行使用第三方软件或硬件来开展工作。
Host: 确实，在许多工作中，员工为了提高效率，往往会自己下载某些协作工具或云存储服务。但这会引发什么具体的管理问题呢？
Expert: 核心问题在于工作效率与网络安全之间的冲突。员工采用影子IT通常是为了解决实际业务痛点，弥补官方工具的不足。然而，未经审查的应用可能引入数据泄露、合规失效和恶意软件感染等严重风险。如果企业采取一刀切的封堵措施，往往会损害生产力，甚至促使员工转向更隐蔽的替代方案。因此，IT管理者面临的挑战是如何在执行安全策略与满足用户需求之间找到平衡。
Host: 那么，这项研究采用了怎样的研究方法来观察这一现象？
Expert: 研究团队对来自 34 家企业的 44 名员工进行了深入访谈。这些受访者涵盖了不同行业以及不同的职能部门。通过质性分析，研究人员系统地考察了企业在应对未经授权技术时的实际管理方式，以及员工在日常工作中使用这些工具的具体动机与行为特征。
Host: 这项研究得出了哪些主要发现？
Expert: 首先，研究确定了组织应对影子IT的四种典型原型。这些原型基于组织的控制严格程度以及对用户需求的响应速度，不同原型下的未经授权技术使用频率从极少到非常普遍不等。其次，研究将影子IT的使用者明确划分为两类群体：第一类被称为“目标导向型行动者”，通常具备较高的技术熟练度，主动寻找工具以解决特定工作障碍，并且往往会自觉评估和控制安全风险；第二类则是“追随者”，他们使用未经批准的工具主要是因为同事在用，这一群体通常安全意识相对较低，因而对企业构成了更大的安全威胁。
Host: 区分这两类用户确实为管理提供了清晰的视角。基于这些发现，这项研究对企业管理实践有哪些具体建议？
Expert: 这正是这项研究的核心应用价值所在。作者提出了 10 条具体建议，指导 IT 管理者从单纯的防御转向系统化管理。首先，企业需要承认影子IT客观存在的现实，将其视为发现业务需求和系统缺陷的信号，而不是单纯的违规行为。其次，建议对不同类型的用户实行差异化管理：对于“目标导向型行动者”，IT部门可以与之合作，将其作为技术创新的试验者；而对于“追随者”，则应重点加强基础安全培训和明确的行为指引。
Host: 组织在内部流程上是否也需要做出调整？
Expert: 是的。研究建议设立专门的用户体验或业务对接职能，主动倾听业务部门的实际需求。同时，简化并加快软件审批流程，建立透明的双向沟通机制。当员工知道官方渠道能够快速响应其需求时，自行寻找外部替代工具的动机就会显著降低。通过让安全策略贴近实际业务流程，组织能够在控制安全风险的同时，保留员工自主提升效率的积极性。
Host: 总结来说，与其全面禁止影子IT，企业更应通过透明的沟通、差异化的用户管理以及敏捷的 IT 支持，来实现安全与效率的协同。非常感谢 Alex 今天的梳理与分析。
Expert: 不客气，Anna。
Host: 感谢各位听众收听本期 A.I.S. Insights。我们下期节目再见。
Shadow IT, Cybersecurity, IT Governance, User Needs, Risk Management, Organizational Culture, IT Policy