情報システム部門でしばしば課題となるのが、企業が認めていないサービスやデバイスを従業員が勝手に業務で使用する「シャドーIT」です。また、事業部門が組織的に情報システム部門を無視し、勝手にクラウドサービスなどを利用するケースもシャドーITです。
今回はシャドーITが利用されてしまう原因やリスクを解説するとともに、どのような対策をすればシャドー ITを防ぐことができるのかについて検討します。

シャドーITは何が問題なのか

シャドーITにはさまざまな形態がありますが、よく見かけるシャドーITとしては、次のような例が挙げられるでしょう。

許可なく個人のPCやスマートフォンなどのデバイスを企業ネットワークに接続する
許可なくUSBメモリに自社や取引先のデータを保存する
許可なく個人のクラウドストレージに自社や取引先のデータを保存する
許可なくチャットサービスなどを利用して自社や取引先のデータを送信する
情報システム部門が管理していないアプリケーションやクラウドサービスを業務に利用する

シャドーITの最大の問題点は、企業の情報資産を情報システム部門が統制できていないことにあります。これは企業のコンプライアンスやセキュリティ対策に大きな影響を与えます。

許可していない（管理されていない）デバイスが企業ネットワークに接続されるということは、そのデバイスがランサムウェア攻撃やサプライチェーン攻撃の入り口になってしまうリスクが高くなるということを意味しています。これは、従業員の悪意の有無とは関係ありません。接続されたデバイスに脆弱性があれば、あっさりと企業ネットワークに侵入を許してしまうかもしれないのです。

無断でUSBメモリなどにデータを保存し、持ち歩くことの危険性は説明するまでもないでしょう。
USBメモリの紛失や盗難によって、企業の機密情報が外部に漏洩してしまうリスクがあります。過去には、少し席を離れた隙に、USBメモリの中にマルウェアを仕込むという攻撃手法も報告されています。知らずに自社のPCにUSBメモリを接続されてしまうと、USBメモリ内のマルウェアは簡単に企業ネットワークに侵入してしまうのです。マルウェアの多くは隠しファイルになっているため、発見が遅れることも多い攻撃です。

個人のクラウドストレージにデータを保存し、自宅や外出先で仕事をするという行為も後を絶ちません。しかし、これは悪意の有無に関係なく、企業に無断で機密情報を社外に持ち出す危険な行為です。このように持ち出されたデータは、仮にこの従業員がその企業を退職しても、従業員のクラウドストレージやそこからコピーしたデバイス内に保存されているかもしれません。仮に、持ち出したデータが個人情報などの機密情報であれば、確実に情報漏洩の事案です。

テレワークが常態したことで一気に導入が加速したチャットツールは、気軽にファイルの送受信ができるサービスでもあります。本来であれば特定の誰かと共有するだけのつもりだったファイルを、取引先など社外のメンバーがいるチャンネルで誤送信してしまうなどの事故も多発しています。また、似たような事案にはメールの誤送信などもあります。

NoMore シャドーIT！SaaSのアカウント管理なら「BUNDLE」

情シスを通さずに便利なツールを使いたい部署は多い

そして情報システム部門がもっとも頭を抱えているのが、事業部門が情報システム部門を経由することなく、勝手に導入するアプリケーションやクラウドサービスの利用です。

「どのような情報が扱われるのか」「セキュリティは担保されているのか」「データのバックアップなど運用面はどうなっているのか」など情報システム部門が企業システムを導入する際に検討すべき要件を明確にすることなく、「便利だから」という理由で安易に利用を開始してしまうのです。

ライセンスやアカウントの管理も杜撰になることが多く、退職した従業員がいつまでもアクセスできるような状態のまま放置されるといったケースも少なくありません。

もちろん業務の効率化は事業部門にとって重要なテーマですし、便利なツールを利用したいという気持ちも理解はできます。しかし、利便性だけを追求した結果、情報漏洩など重大なセキュリティ被害が発生する可能性が高くなるということを従業員一人一人がきちんと自覚することが重要です。これは個人のPCやクラウドストレージを利用する際にも言えることでしょう。

どうすればシャドーITを防げるのか

シャドーITの防止対策には、「業務プロセスの見直し」「ツールの利用」「従業員に対するセキュリティ教育の徹底」という3つのアプローチが有効です。どれか一つだけではなく、これらの対策をバランスよく実施することが重要になります。

業務プロセスの見直しとツールの導入

シャドーITが蔓延する最大の理由は、既存の業務プロセスの効率が悪く不便だと従業員が感じることにあります。特に近年ではテレワークの導入が一気に加速したことで、外部から企業システムにアクセスすることが困難になり、ついクラウドサービスを利用してしまうというケースが多いようです。
そこで業務プロセスを改めて見直し、ボトルネックを解消するプロセスの改善やツールの導入によって、シャドーITを使う必要がない環境を提供します。
なお、シャドーITとして利用されていたツールを、情報システム部門が管理するツールとして正式に導入する企業も多いと聞きます。これは、セキュリティ要件などに問題が無いのであれば、別のツールに変更して業務効率を下げるよりも、そのまま認めて情報システム部門の統制下に置いた方が良いという判断によるものです。

なお、シャドーITと同じ文面で語られることの多い「BYOD（Bring Your Own Device）」ですが、BYODが個人のデバイス利用を企業が許可しているのに対し、シャドーITは許可なく勝手に利用するという違いがあります。
個人所有のデバイス利用を全面的に禁止するには、代替となるデバイスを企業側が用意しなければならず、コストが大きくなります。そこでMDM(Mobile Device Management)などのセキュリティ対策を講じた上でBYODの使用を許可するのも一つの方法です。

従業員へのセキュリティ教育

結局のところ、シャドーITは「業務効率を向上させたい」という従業員の意識によって、無自覚に生まれてしまう仕組みです。その一方、個人所有のデバイス、便利なアプリケーションやクラウドサービスを無許可で使用することにどのようなリスクが潜んでいるのかを従業員が正しく認知していないということでもあります。

この問題を解決するためには、企業側は明確なセキュリティガイドラインを策定して従業員に示す必要があります。同時に、すべての従業員に対して定期的にセキュリティ教育を実施し、セキュリティ意識を高めるよう努めることが大切です。

まとめ

シャドーITとは情シスが把握していないデバイスやツールを勝手に利用する行為
業務効率を上げるため、個人や事業部門や個人がシャドーITを利用するケースが多い
シャドーIT対策には、業務プロセスの見直し、ツールの導入、セキュリティ教育の徹底が重要