シャドー IT とは? セキュリティ リスクと防止策について解説

1-1. シャドー IT とは

シャドー IT とは、企業で用いられている情報システムやソフトウェアのうち、従業員や各部門が独自の判断で導入および使用し、経営層や情報システム部門による把握や管理が行き届いていないものです。
近年では、新型コロナ ウイルス感染拡大や働き方改革の影響により、リモート ワークが一般化し、自宅やカフェなど会社以外の場所で業務を行う機会が増えました。
しかし、ルールの整備や適切な準備を行わないまま、リモート ワークを導入した企業も少なくありません。そのため、企業が許可していないツールやサービスを利用する従業員が増え、シャドー IT が発生しやすい状況となっています。

1-2. シャドー IT と BYOD の違い

シャドー IT と混同されやすい用語に BYOD があります。BYOD とは、企業の許可を得ている個人のデバイスを業務で使用することです。
一方シャドー IT は、企業が把握してないデバイスやツールを許可なく使用することです。
つまり両者は、企業が個人デバイスの使用を許可しており、管理できる状態であるか否かの点で大きく異なります。企業が管理できていないデバイスを使用するシャドー IT では、適切なセキュリティ対策ができません。そのため、セキュリティ インシデントが発生した場合に対応が遅れ、大きな被害を招いてしまう危険性があります。

セキュリティ リスクから自社を守るためには、脆弱性をなくす対策が欠かせません。ここでは、シャドー IT の防止策を 7 つ紹介します。

4-1. 業務でのシャドー IT 利用の実態把握

まずは、従業員が利用しているシャドー IT について調査を行い、実態を把握する必要があります。もしシャドー IT が利用されていた場合、なぜ利用しているのか、なぜ利用しなければならなかったかなどをヒアリングし、今後は利用させないよう対策を講じることが重要です。

4-2. 情報システムやソフトウェアの利用に関するガイドラインを策定

利用している情報システムやソフトウェアがシャドー IT であると従業員が認識していないケースがあります。
そのため、業務で利用してよい情報システムとソフトウェアを明確にし、ガイドラインを策定して従業員へ周知することが重要です。
またガイドラインには、どうしても個人所有のデバイスを利用せざるを得ない場合の承認フローなども明記しておくとよいでしょう。

4-3. シャドー IT によるリスク教育の実施

シャドー IT の危険性について従業員に教育を行いましょう。
シャドー IT が会社にどのような影響を及ぼすおそれがあるのかを理解できれば、従業員のシャドー IT に対する意識が変わるはずです。
また、シャドー IT の利用で問題が発生した場合、従業員自身が責任を負うことを納得してもらうことで、シャドー IT 利用の抑止につながります。

4-4. アクセス監視の実施

従業員の業務中の動きを監視するソフトウェアを導入することで、シャドー IT の利用を抑止すると共に、万が一セキュリティ インシデントが発生した際にアクセス ログから感染経路を特定できるようになります。
ただし、アクセス監視ではシャドー IT 利用のリスクは軽減できても、完全になくすことはできません。そこで、企業管理が行き届かないところへのアクセスを制限するなど、アクセス権限の付与を行うことも 1 つの手段です。

4-5. シャドー IT が不要な環境を構築

従業員がシャドー IT を利用する大きな理由は、作業の生産性や業務効率が上がることです。
そのため、シャドー IT が不要になるように、企業がセキュリティ対策のなされた便利な情報システムやソフトウェアを用意するとよいでしょう。
また、従業員が必要だと思っているものや不便と感じているものについて、定期的にヒアリングを行うことも重要です。

4-6. ツール利用への承認フローや権限の設定

シャドー IT に限らず、情報システムやソフトウェア導入する際の承認フローを作成し、システム管理者の承認がなければ導入できないしくみをつくることが有効です。
また、ツールの利用について権限を設定することも、シャドー IT の防止策として積極的に検討すべきです。

4-7. BYOD の導入

多くの企業では、従業員がどのようなデバイスをどのように利用しているかを把握できていません。そして、企業の仕事環境で使い勝手が悪いことがあるために、従業員が便利だと感じるシャドー IT を利用してしまいます。
そこで、しっかりとセキュリティ対策を講じたうえで、企業の管理下にあるデバイスを利用させる BYOD を導入することが、シャドー IT 対策として有効です。