従業員が個人で契約したクラウドサービスや、無許可のチャットツールを使っていないか、不安に感じる企業も多いでしょう。このようなシャドーITは、深刻な情報漏洩やマルウェア感染のリスクに直結します。
本記事ではシャドーITのリスクや原因、企業ができる対策を解説します。本記事を読めば、シャドーITの概要を理解し、適切な対策をスムーズに進められるようになります。
シャドーITを解消し、経営上のセキュリティリスクを未然に防ぎましょう。
シャドーITとは
シャドーITとは、企業が利用を許可しておらず存在や使用実態を把握・管理できていないIT機器・ソフトウェアです。「シャドー＝影」の言葉どおり、企業の管理の影で行われるIT利用を指します。
シャドーITにおいて、多くのケースでは従業員に悪意があるわけではありません。「業務をもっと効率化したい」などの理由から、利便性を優先して個人所有のデバイスやソフトウェアを利用する場合があります。しかし、シャドーITは把握・管理できていないデバイスから機密情報が漏れるなど、セキュリティ面で大きなリスクを伴います。
シャドーITが問題視される理由
シャドーITが問題視される最大の理由は、企業に予測困難なセキュリティリスクをもたらすためです。企業が管理・許可しているツールであれば、IT部門はセキュリティポリシーに基づきアクセス制限やデータの暗号化、脆弱性対策などを施すことが可能です。
しかし、シャドーITはIT部門の管理下にないため、セキュリティ対策が十分に施されていない状態で業務データが扱われる恐れがあります。シャドーITが存在すると具体的に以下のようなリスクが考えられます。
- 無料のオンラインストレージやファイル転送サービスに機密情報や個人情報を含むファイルをアップロードされ、外部に流出する恐れがある
- 従業員が個人でインストールしたソフトウェアや持ち込んだUSBメモリがマルウェアに感染していた場合、社内ネットワーク全体に広がる危険性がある
- 業界の規制や個人情報保護法などで定められたデータ管理のルールを、シャドーITが破ってしまう可能性がある
- 問題が発生した際にシャドーITの存在を把握していなければ、原因の特定や対応が大幅に遅れて被害が拡大する恐れがある
これらのリスクは、シャドーITが放置されることで顕在化し、企業のセキュリティ体制を破壊する可能性があります。
シャドーITの具体例
企業におけるシャドーITの具体例として、以下が挙げられます。
- 【許可していない個人所有デバイスの利用】
- 個人のスマートフォンで、会社のメールアカウントを設定して送受信している
- 業務の連絡を、個人のLINEやメッセンジャーアプリで行っている
- カフェなどで個人のノートPCを使って業務資料を作成し、保存している
- 【許可されていないクラウドサービスの利用】
- 大容量の業務ファイルを送るために、無料のファイル転送サービスを利用した
- チーム内の情報共有のため、IT部門に無断でオンラインストレージを契約した
- 議事録の作成に無償のオンラインノートサービスを利用している
- 【無許可のソフトウェアやツールの利用】
- 業務で使うため、フリーの画像編集ソフトやPDF変換ツールをダウンロードした
- 会社が契約しているツールとは別に、個人でチャットツールのフリープランを使い始めた
これらのちょっとした便利さを求める行為が結果としてシャドーITとなり、企業のセキュリティ体制に深刻な穴を開けることにつながります。
シャドーITを放置するリスク
- 情報漏洩・データ損失のリスク
- マルウェア感染・サイバー攻撃のリスク
- コンプライアンス違反のリスク
情報漏洩・データ損失のリスク
シャドーITがもたらす最大の脅威は、情報漏洩およびデータ損失です。企業の管理下にないデバイスやサービスは、当然ながらセキュリティポリシーが適用されていません。そのため、アクセス権限の設定やデータの暗号化、バックアップなどの基本的な防御措置が講じられていないケースがほとんどです。
例えば、従業員が無料のオンラインストレージに顧客情報や機密情報を含む業務ファイルを保存したとしましょう。もし、従業員がアカウントのパスワードを使いまわしていたり、共有設定を誤って「誰でも閲覧可能」にしていたりしたらどうなるでしょうか。悪意ある第三者による不正アクセスや意図しない情報公開によって、瞬く間に重大な情報漏洩へと発展します。
また、個人所有のスマートフォンやUSBメモリを紛失・盗難された場合、企業側でデータを遠隔削除するなどの対処ができません。シャドーITにより、機密データが管理不能な状態で外部に持ち出されるリスクを常にはらんでいます。
マルウェア感染・サイバー攻撃のリスク
シャドーITは、マルウェア感染やサイバー攻撃の侵入口にもなりえます。企業が許可していないソフトウェアには脆弱性が放置されていたり、セキュリティパッチが未適用のままだったりするためです。
典型的な例として、従業員が業務で使いたいがために便利な無料ツールをインターネットからダウンロードするケースが挙げられます。
無料ツールにマルウェアが仕込まれていた場合、社内ネットワークに接続したPCから感染が拡大する事態になりかねません。シャドーITが存在する限り、高額なセキュリティ機器を導入して社内ネットワークの防御を固めていても効果は半減してしまいます。
コンプライアンス違反のリスク
シャドーITは、企業のコンプライアンス体制を根本から脅かすリスクも抱えています。たとえば、個人情報保護法では企業が顧客データを安全に管理する義務を負っています。
しかし、企業が把握していないクラウドサービスに従業員が顧客データを保存していたとしましょう。企業は、「誰がそのデータにアクセスしたか」「データがどこに保存されているか」を管理・把握できません。
万が一、監査やインシデント発生時にシャドーITの利用が発覚すれば、安全管理義務違反として法的な罰則の対象となる可能性があります。また、取得しているISMSやプライバシーマークなどの認証が取り消され、企業の社会的信用が失墜する事態も想定されます。
従業員がシャドーITを使ってしまう原因
従業員がシャドーITを使ってしまう原因として、主に以下の3つが挙げられます。
- 業務における利便性・効率化の追求
- 会社が提供するIT環境への不満
- IT部門の管理体制・ルールの不備
シャドーITを防ぐためにも、上記の原因に対しては適切な対策を講じましょう。
業務における利便性・効率化の追求
最も多い原因は、「目の前の業務を、もっと効率的に進めたい」という従業員の純粋な思いです。日々業務を行う中で「この作業は時間がかかりすぎる」などの課題に直面した際、従業員は解決策を探します。
例えば、「大容量のファイルを取引先に送る必要があるものの、会社のメールでは容量制限に引っかかる」などの状況を想像してみてください。IT部門にツールの導入を申請するよりも、無料のファイル転送サービスを使うほうが手っ取り早いと判断してしまうのです。
このように生産性を高めようとする行動が、結果として企業の管理外であるシャドーITを生み出すことになります。
会社が提供するIT環境への不満
従業員の効率化・利便性の追求と表裏一体なのが、会社が提供しているIT環境への不満です。
- 「社内システムが古すぎて使いにくい」
- 「PCの動作が遅く、作業がスムーズに進まない」
- 「スマートフォンやタブレットに対応しておらず、外出先から必要な情報にアクセスできない」
IT部門の方であれば、現場からこのような声が寄せられることもあるでしょう。業務上必要とする機能と会社が提供するIT環境との間にギャップがある場合、従業員はより使いやすく高機能な代替手段を探し始めます。
また、会社のツールを使うための手続きが過度に複雑だったり、利用申請の承認に時間がかかりすぎる場合も同様です。環境の利便性が低いと、従業員は「自分で何とかしよう」と考えがちになり、その結果シャドーITが発生しやすくなってしまいます。
IT部門の管理体制・ルールの不備
従業員の意識やツールの問題だけでなく、IT部門側の管理体制やルール自体が意図せずシャドーITを誘発している可能性もあります。IT部門の管理体制・ルールの不備がシャドーITを生み出す例として、以下のようなケースが考えられます。
- セキュリティポリシーや利用ルールを策定していても、存在や内容が従業員に正しく伝わっていない
- セキュリティを重視するあまり、業務の実態とかけ離れた厳しすぎる利用制限を設けてしまっている
- 新しいツールを利用したい場合の申請手続きが複雑すぎたり、承認までに何週間もかかったりする
「なぜそのルールが必要なのか」を丁寧に説明すると同時に現場のニーズに応えられる制度でなければ、シャドーITを根本からなくせません。
企業ができるシャドーITへの具体的な対策の流れ
企業ができるシャドーITへの具体的な対策の流れとして、以下の4つが挙げられます。
- 利用実態の把握
- 利用ルールの策定と周知
- 従業員へのセキュリティ教育
- 利便性の高いIT環境の整備
上記の流れを参考に、シャドーITに対してスムーズに対策を進めましょう。
① 利用実態の把握
何よりも先に着手すべきは、「社内でシャドーITがどれほど利用されているか」の実態把握です。シャドーITの現状が可視化できなければ、有効な対策は打てません。なお、シャドーITの利用状況を具体的に把握する方法としては、以下のようなアプローチがあります。
- 従業員へのアンケートやヒアリング：「業務で困っていること」「利用しているツール」などをヒアリングし、現場の生の声を集める
- ネットワーク機器のログ分析：ファイアウォールやプロキシサーバーの通信ログを分析し、社内からどのような外部サービスへアクセスが発生しているかを洗い出す
- 専門ツールの導入：CASBと呼ばれるクラウドサービスの利用状況を可視化・制御するための仕組みを導入すれば、シャドーITを網羅的かつリアルタイムに検知できる
② 利用ルールの策定と周知
利用実態が見えてきたら、次にITツールの利用ルールを策定して全社に周知徹底するフェーズです。ただし、単に禁止リストを作るだけでは不十分です。重要なのはセキュリティと利便性のバランスを保ちつつ、従業員が安心して業務に使える環境に整備することです。
ITツールの利用ルールを作成する際は、以下のポイントを意識しましょう。
- 利用ツールの分類：「利用を推奨するツール」「申請・許可制で利用可能なツール」「明確に禁止するツール」などの形で分かりやすく分類する
- 業務実態に即した内容にする：現場の業務とかけ離れた厳しすぎるルールは、かえってシャドーITを助長するため、業務実態に即した内容にする
- 申請プロセスの簡略化：新しいツールを使いたい場合の申請手続き・承認プロセスを簡潔にし、従業員の負担を減らす
策定したルールは、社内ポータルへの掲載や定期的な研修などを通じて全従業員に理解してもらう努力が不可欠です。
③ 従業員へのセキュリティ教育
利用ルールの策定と周知が済んだら、従業員へのセキュリティ教育も必要です。策定したルールを守ってもらうためには、従業員一人ひとりのセキュリティ意識の向上が欠かせません。
例えば、シャドーITが原因で発生した実際の情報漏洩事故やマルウェア感染の事例を紹介するなどの内容が考えられます。これらの事例を紹介しつつ、「もし自社で同じことが起きたら」と想像してもらえる内容にするのも効果的です。
eラーニングや標的型攻撃メール訓練なども組み合わせながら、会社と自分を守るためにルールを遵守する企業文化を醸成しましょう。
④ 利便性の高いIT環境の整備
最後に、従業員がシャドーITを使わなくても済む環境を積極的に整備しましょう。従業員がシャドーITに手を出す最大の動機は、会社のツールが使いにくいなどの利便性に対する不満です。
根本的な原因を解消しなければ、いくら対策をしてもシャドーITの問題は再発し続けます。そのため、利便性の高いIT環境を整備するために以下の施策を実施しましょう。
- ヒアリングなどを通じて、従業員が本当に求めている機能や不便を感じている点を正確に把握する
- シャドーITとして利用されがちなチャットツールやオンラインストレージに対し、セキュリティが担保された高機能なツールを導入・提供する
- ツールの利用申請から承認までの期間を短縮し、従業員が待たされていると感じない体制を整える
シャドーITの対策に「PCレンタル」が最適な理由
今までに紹介した対策は、社内からシャドーITを排除するために不可欠な取り組みです。しかし、テレワークが普及した現代において、社外に持ち出された無数のデバイスを企業が完璧に把握・管理し続けるのはリソース的に困難です。
また、従業員が使いにくいと感じるPCを提供し続ければ、ルール策定やセキュリティ教育もむなしくシャドーITは必ず再発します。そこで、これらの課題を根本から解決し、シャドーIT対策を後押しする具体的な一手としてPCレンタルの活用をおすすめします。
以下では、PCレンタルがシャドー対策に有効な理由を解説します。
私物PCの利用を根本から防ぐ
シャドーITの代表例は、従業員による私物PCの業務利用です。特に、テレワーク環境下では「自宅のPCのほうが高性能だから」などの理由で、管理外のデバイスで機密情報が扱われてしまうリスクが存在します。
PCレンタルを導入して業務で利用するPCを会社が貸与したものに限定すれば、これらのリスクを物理的に遮断することが可能です。データやファイルは必ず管理されたレンタルPC上でのみ扱うのを徹底すれば、従業員が私物PCを業務に使う余地を排除できます。
セキュリティレベルを統一して管理工数を大幅削減
セキュリティレベルを統一して管理工数を大幅削減できる点も、レンタルPCのメリットです。IT担当者の日常業務を圧迫する要因の1つが、PCの初期設定と運用管理です。
「OSのアップデート、セキュリティパッチの適用、アンチウイルスソフトの管理、資産台帳の更新……」といった作業は、従業員が数百人〜数千人いれば、PCの設定・運用管理は膨大な工数になります。さらに、管理体制に少しでも穴があれば、シャドーITやセキュリティインシデントが発生します。
PCレンタルサービスを利用すれば、このような煩雑な管理業務の多くをアウトソーシングできます。
例えば、あらかじめ企業のセキュリティポリシーを適用したPCを設定済みの状態で従業員の手元に直接配送することが可能です。故障時や紛失時も、サービス提供事業者が代替機の手配やデータの遠隔削除を迅速にサポートしてくれます。
常に最新・快適なPC環境で従業員の不満を解消
PCレンタルは、常に最新・快適なPC環境で従業員の不満を解消するのにも有効です。自社で購入する場合、コストの観点から一度導入したPCを5年〜7年と使い続けるケースも少なくありません。しかし、時間の経過とともにPCの性能は陳腐化し、従業員の利便性に対する不満が増大します。
一方、レンタルサービスであれば、定期的にPCを最新の機種に入れ替えるサイクルが確立されているため、従業員は常に快適で高性能なPC環境で業務に取り組めます。
その結果、私物のPCを使いたいと感じる理由が減り、シャドーITの発生を未然に防ぐことが可能です。快適なIT環境の提供は、従業員の満足度の向上だけでなく、セキュリティ意識の底上げにもつながります。
設定・管理も丸投げできるテクノレントの法人PCレンタルサービス
シャドーITの対策としてレンタルを活用する場合は、テクノレントの法人PCレンタルサービスがおすすめです。テクノレントのレンタルサービスを利用すれば、単に機器を借りるだけでなく、IT機器の設定や管理にかかる負荷を大幅に軽減し、実質的に任せることができます。そのため、IT担当者は組織全体のセキュリティリスク管理や戦略的なIT投資などの重要な業務に注力できます。
また、レンタルしたPCを返却する際もデータ消去作業を標準で実施している点も特徴です。セキュリティ上の心配もない上に、PCに保管したデータの削除を自社で行う必要がないため手間がかからない魅力もあります。
手間なくシャドーIT対策を実施したい場合は、ぜひテクノレントのPCレンタルサービスをご検討ください。
まとめ
シャドーITとは、企業が許可・把握していないIT機器・ソフトウェアです。シャドーITの放置は、情報漏洩やマルウェア感染などの深刻なセキュリティリスクを容認するのと同じです。しかし、シャドーITの多くは「業務を効率化したい」など現場の切実な動機から発生しており、単純な禁止だけでは根本解決になりません。
シャドーIT対策を実施する際は、まず利用実態を正確に把握して明確なルールを策定し、周知しましょう。セキュリティ教育を継続し、従業員がシャドーITに頼らなくても済むよう利便性の高いIT環境を整備する必要もあります。
シャドーITの具体的な解決策として、PCレンタルは非常に有効です。常に最新・快適なPC環境を提供して従業員の不満を解消しつつ、セキュリティレベルの統一と管理工数の大幅な削減を実現できます。シャドーIT対策をスムーズに実施し、企業のセキュリティリスクを未然に防ぎましょう。