はじめに

スマートフォンやタブレットなどのデバイス普及に加え、テレワーク環境の拡大で、セキュリティ対策に苦慮しているシステム管理者の方も多いのではないでしょうか。シャドーITのリスクや適切な対処方法について理解を深めてみてはいかがでしょう。

シャドーITとは

シャドーIT（Shadow IT）とは、会社や情報システム部門（情シス）の許可を得ずに従業員や部署単位で独自に利用している、企業側が把握できていないデバイスや外部サービスのことです。企業側が把握・管理できていない状態で利用されている点が特徴です。
ITツールは非常に便利ですが、セキュリティ対策を疎かにすると大きな問題につながりかねません。とくに会社が把握していないシャドーITについては、現場の利便性を尊重しつつ適切な統制を図ることが重要です。

シャドーITが生まれる背景

近年シャドーITが増加している背景には、従業員の利便性重視の行動という理由だけでなく、現場の切実なニーズと組織の管理体制とのズレが大きく関係しています。主な要因は次の４点です。

1. 利便性・スピード感の追求

   現場での使い慣れたツールの転用、複雑な申請プロセスの回避

2. リモートワークの拡大

   現場の判断で外部サービスを利用するケースの増加

3. ミスマッチの発生

   情報システム部門が提供するツールが、現場の実態に即していない

4. クラウドサービス（SaaS）の普及

   SaaSの導入は容易で、簡単に高度な機能が使用可能

シャドーITに利用されやすいもの

シャドーITに利用されやすいものを４つ解説します。まずどのようなツールが標的になりやすいのかを知ることが重要です。

１　私物のデバイス

企業側から仕事用のデバイスを支給していない場合、私物のスマートフォン・ノートパソコン・タブレットなどを業務に利用するケースは少なくありません。利便性が高い一方で会社の管理下にないデバイスはシャドーITの一因となりやすく、情報セキュリティ上のリスクを伴います。
私物デバイスの活用は働き方の柔軟性を高めますが、適切に管理することが必須です。利便性と安全性のバランスをとりながら、組織としてのルール整備を進めることが重要です。

２　フリーメール

代表的なシャドーITの一例が個人のフリーメール（Gmail、Outlook.com、Yahoo!メールなど）を業務に流用してしまうケースです。会社メールの容量制限や社外からログインしにくいなどの理由を解消するために利用されるケースがあります。
フリーメールは利便性が高い反面、企業統制の外で利用されると大きなリスクにつながります。利便性と統制の両立を図るためにも、明確なルール整備と適切な管理体制の構築が重要です。

３　チャットツール

シャドーITの中でも、チャットツールは拡散力と即時性が高く現場主導で導入されやすいツールです。チャットツールは、迅速なコミュニケーションを可能にする便利なサービスで、代表的なものとしてLINE・Messenger・Slack・Discordなどがあります。業務効率化のために導入されるケースも多い一方、企業の承認を得ずに利用されるとシャドーITとなる可能性があり、次のようなリスクを伴います。

1. 情報漏えいの可能性

   アクセス権限の管理が不十分な場合に機密情報が外部に流出する恐れがある

2. 退職者アカウントの管理もれ

   管理部門が把握していないため退職後もアクセスできる状態が続く場合がある

3. ログ監査が困難

   インシデント発生時に記録を十分に確認できないケースがある

4. データの保存・管理が不透明

   保存期間が制限されることがあり重要なやり取りが消失する可能性がある

4　クラウドストレージ

クラウドストレージとは、インターネット上のサーバーにデータを保存し、どこからでもアクセスできるオンライン型保存サービスのことです。
これまではデータを自分のパソコンやUSBメモリなどに保存していましたが、ネット上のサーバーに保存することで、場所やデバイスを選ばずデータにアクセスできるようになりました。

シャドーITで企業が負うリスク

ここからは、企業が特に警戒すべき主なリスクについて３つ解説していきます。会社が把握していないシャドーITの利用は、企業にとって予期せぬ大きな脅威となり得ます。

１　機密情報の流出

企業側として、シャドーITが引き起こす機密情報の流出は、防がなければならない深刻な問題です。
シャドーITによって情報漏えいが発生するケースは主に以下の４つです。

1. 企業の統制が及ばない環境で情報が扱われる
2. 誤操作による公開リスク
3. アカウント乗っ取りの危険性
4. 退職・異動時の情報持ち出し

２　なりすまし

シャドーITがもたらすリスクのひとつに、なりすましがあります。なりすましとは、第三者が正規ユーザーを装ってシステムやクラウドサービスにログインし、情報の閲覧・改ざん・持ち出しを行う行為を指します。とくに会社が管理していないアカウントで業務データを扱っている場合、被害が発覚しにくいという特徴があります。
例えば、第三者が企業の同僚や上司・部下などになりすまして友だち申請し、チャットに参加することもあり得ます。

３　不正アクセス

シャドーITのリスクのひとつに不正アクセスがあり、主な原因としては以下の３つがあります。

1. 企業管理外のアカウントの利用
2. パスワードの使い回し
3. フィッシング攻撃への対策不足

また、近年そのリスクを高めている要因のひとつにテザリングなどの個人回線利用があります。テザリングなどの個人ネットワークを利用すると、企業のネットワーク監視やアクセス制御の対象外となる場合があります。その結果、不正アクセスが発生しても検知が遅れ、被害が拡大してしまう可能性があります。

シャドーIT対策４選

ここでは、企業が検討すべき対策について４つ解説します。利便性の高いクラウドサービスが普及する中で、会社が把握しきれないシャドーITへの対策は、もはや避けて通れない重要課題となっています。

１　シャドーITを使わなくてもよい環境の整備をする

シャドーITが発生する最大の原因は、会社のツールが不便で、仕事の邪魔になっていることにあります。会社の公式ツールが最も便利で安全と感じられる環境づくりが重要です。

1. 公式クラウドサービス・ツールの導入： Microsoft 365、Google Workspaceなどを導入し、ファイル共有・共同編集・外部共有を公式に可能にする
2. 社外共有を前提にした設計：禁止するよりも管理された許可の仕組み作り
3. テレワーク前提の環境整備：私物回線や個人環境に頼る必要性を減らす
4. ITサポート体制の確立：申請などを迅速に処理するような環境の整備

２　ガイドラインを策定・社員を教育する

シャドーIT対策は技術的なものだけでなく、ガイドラインの明確化と理解促進も重要です。
ガイドラインとは、何をしてよいのか・何が禁止なのかを明確に示す社内ルールのことです。曖昧な状態では、従業員は自己判断でシャドーITを利用してしまいます。
また、ガイドラインは策定するだけでは機能しません。なぜ守る必要があるのかを理解してもらうことが不可欠です。注意喚起だけではなく、具体的なケーススタディを交えると理解を深めることができます。
困ったら相談できる雰囲気を作ることも重要で、罰則重視ではなく相談しやすい文化づくりが効果的です。

３　BYODの実行を検討する

前項１・２のシャドーIT対策とは別のアプローチとして、BYOD（Bring Your Own Device）を実行する方法があります。これは、私物端末の利用を一律に禁止するのではなく、一定のルールのもとで正式に認め、管理下に置く対策です。
BYODの実行検討は、私物端末利用をゼロにするという発想ではなく、現状を前提に管理可能な形へ転換するアプローチです。禁止一辺倒ではなく制度化と管理を通じて統制を強化することで、統制と利便性の両立をはかることができます。

４　アクセス管理ツールを導入する

シャドーITを防ぐためには、誰が・どのサービスに・どのようにアクセスしているのかを可視化し、統制する仕組みが有効です。
アクセス管理ツールを使えば、会社支給のパソコンからしかアクセスを許さない・特定のIPアドレス（オフィスや許可されたリモート環境）以外は拒否するなどの、きめ細かい制御が可能となります。

まとめ

シャドーITとは、会社や情報システム部門の許可を得ずに従業員や部署単位が独自に利用している、企業側が把握できていないデバイスや外部サービスのことです。

シャドーITが生まれる４つの背景について解説しました。社会・従業員などの変化について知っておきましょう。

1. 利便性・スピード感の追求
2. リモートワークの拡大
3. ミスマッチの発生
4. クラウドサービス（SaaS）の普及

シャドーITに利用されやすいものは、私物のデバイス（スマートフォン、タブレットなど）・フリーメール・チャットツール・クラウドストレージの４つです。

シャドーITで企業が負うリスクを３つ解説しました。

1. 機密情報の流出
2. なりすまし
3. 不正アクセス

具体的なシャドーIT対策を４つ解説しました。

1. シャドーITを使わなくてもよい環境の整備をする
2. ガイドラインを策定・社員を教育する
3. BYODの実行を検討する
4. アクセス管理ツールを導入する

近年テレワークなどが増えており、環境の変化に対応していく必要性が高まっています。
そういった中で、シャドーITの発生を抑えるため、使いやすいデバイスやツールの業務インフラを整えるといった対策が求められています。利便性と安全性を両立させる環境を整備し、持続可能なセキュリティ体制を構築していきましょう。