유형: 논문 · 저자: Steffi Haag, Andreas Eckhard · 출처: · 별점: ⭐️⭐️

개요

• “Shadow IT usage”를 규범 위반·상황 제약·성과 향상 의도의 3요소로 정의

문제 정의

• Shadow IT란 무엇인가
• 기존의 BYOD, IT consumerization, workaround 개념과 어디까지 같고 어디서부터 다른가

맥락

• 클라우드·소비자형 SaaS 확산으로 현업이 IT부서 우회하여 도구를 쓰는 현상이 증가
• 이 현상을 “무조건 악” 또는 “혁신”으로만 단순화하면 거버넌스 설계가 실패한다는 문제의식
• 실무에서는 Shadow IT가 모순적 대상
  • 한편으로는 성과 향상 수단
  • 다른 한편으로는 보안/컴플라이언스/데이터 리스크

결과

Shadow IT 란

• 조직의 IT/보안 부서가 “소유·승인·가시화·통제”하지 못하는 상태로 업무에 사용되는 하드웨어·소프트웨어·클라우드 서비스 전반
• “승인되지 않았다”: 계정·권한·로그·데이터 처리·계약(DPA 등)·접근통제·감사 가능성이 공식 거버넌스에 편입되지 않았음
• 본질은 “도구 그 자체”가 아니라, 데이터·권한·업무흐름이 공식 통제면 밖에서 생성·이동·축적되는 현상

Shadow IT 문제

• 보안 사고
• 비용 누수
• 컴플라이언스 공백
• 운영 복잡도(스프롤)

Shadow IT 속성

• 조직의 승인 없는 IT 사용
• Enterprise IT / Consumer IT 여부와 무관
• 개인이 업무 수행을 위해 사용 (악의적 의도 X)

“Shadow IT”를 ‘승인되지 않은 도구’로만 두면,

• (1) 혁신적 사용자 주도 IT와 보안 리스크를 같은 바구니에 넣는 오류
• (2) BYOD/consumerization처럼 합법·승인된 소비자형 IT까지 섞는 오류
• (3) workaround(공식 시스템 내 우회)와 shadow(공식 규범 위반) 사이의 행동 단위를 혼동

예상 위험

• 위험 1: “성과 향상 의도”를 면죄부로 삼아, 보안·법무 리스크를 사후 정당화하는 문화
• 위험 2: 규범을 과도하게 강화하면 Shadow IT가 사라지는 게 아니라 숨기게 되어 관리 비용 증가
• 위험 3: Shadow IT를 전부 ‘악’으로 프레이밍하면, 내부 IT의 병목을 개인 문제로 전가하게 됨