40

La Shadow IT (SIT) est une utilisation par les employés (1) de ressources informatiques non approuvées dans le but de travailler plus efficacement, (2) sans intention malveillante, mais qui enfreint les règles de l’entreprise. Cette utilisation crée des vulnérabilités supplémentaires qui augmentent le risque d’incidents de sécurité de l’information (SSI). Nous avons mobilisé la théorie du coping afin d’étudier les comportements d’utilisation de la SIT, au travers d’une enquête auprès de 429 utilisateurs. Nous contribuons à la littérature académique d’une part, en améliorant la compréhension du maintien par les employés d’un équilibre entre les bénéfices et les risques au travers de comportements de maximisation et/ou de protection relatifs à l’utilisation de la SIT. D’autre part, nous enrichissons les modèles conceptuels d’analyses comportementales par l’identification d’effets croisés qui n’avaient pas été étudiés auparavant. Nos contributions managériales soulignent le fait que la maximisation de l’utilisation de la SIT par les employés peut être bénéfique pour les entreprises en termes d’efficacité. Cependant, en termes de SSI, nous montrons qu’il est nécessaire d’aller au-delà d’une simple sensibilisation des employés, car ils pourraient sous-estimer les risques supplémentaires qui résultent de leurs pratiques de SIT.

Shadow IT (SIT) is characterized as (1) the use of unapproved IT resources by employees for the purpose of working more efficiently and (2) usage lacking malicious intent that nevertheless violates company rules and creates additional vulnerabilities that increase the risk of information security incidents. We examine SIT usage behaviors based on coping theory by conducting a survey of 429 SIT users. We contribute to the academic literature, on the one hand, by improving our understanding of the role of the balance between benefits and risks in maximization and/or protection behaviors related to SIT usage. On the other hand, we discuss and enrich the conceptual model of behavioral analysis by identifying cross effects that have not previously been studied. Our managerial contributions highlight the fact that employee maximization of SIT usage can be beneficial for companies in terms of efficiency ; however, with regard to information security, it is necessary to go beyond simple awareness because employees may not properly assess the increased risk they cause through their SIT practices.