従業員が業務効率の向上や作業の利便性を向上させるため、もしくは個人的な目的によって、企業や組織に認められていない非公式のIT機器やアプリケーションを使用することは、日本企業においても多々見受けられる。例えば、日常的な業務報告のためにクラウドベースのスプレッドシートを用いる、チームのコミュニケーションを円滑にするために非公式のチャットツールを導入するといったケースだ。 このようなシャドウITは、企業や組織におけるセキュリティやコンプライアンスのリスクを高める可能性がある。何故なら、シャドウITは IT部門の管理下にないため、セキュリティ対策やポリシーが適用されていないことが多くあるためである。また、シャドウITは企業の資産管理やデータ保護にも悪影響を及ぼす可能性がある。
ここでは過去の事例をもとに設定した仮説で、５つのケースを考察してみたい。
１つ目は、営業担当者がクラウドベースのファイル共有サービスを使用して営業資料を共有するケース。このようなケースでは、共有されたファイルに顧客の機密情報が含まれていることもある。ファイル共有サービスを適切に設定できていなかった場合、外部から不特定多数がこれらのファイルにアクセス可能な状態となる。
２つ目は、金融機関の従業員が、承認されていないメッセージングアプリを使用して顧客とのコミュニケーションを行うケース。この行為そのものが、顧客データの取り扱い方針や業界規制に違反する可能性もあり、罰金や業務停止命令といった制裁を科されることにも発展しかねない。
３つ目は、IT部門によるセキュリティポリシーとして二要素認証を義務付けている中、マーケティング部門の一部スタッフがこの要件を満たさないSaaSツールを導入してしまうケース。結果として、アカウントが第三者によって乗っ取られ、企業の重要なマーケティングデータが流出する事態に発展することも考えられる。
４つ目は、企画部のあるチームが独自にプロジェクト管理ツールを導入してしまうケース。このような場合、公式にITサポートを受けられないことで、システムトラブル発生時に迅速な対応が取れず、業務に大きな遅延が生じることも考えられる。
５つ目は、製品開発部門が非公式なツールを使用してデータを管理してしまうケース。その結果、データが公式のデータベースや他の部門と整合性を欠くものとなり、製品のリコールや品質問題を引き起こす問題にも発展しかねない。
これらの仮説としてあげたケースから分かることは、シャドウITが企業や組織のセキュリティ対策やポリシーの適用外にあることでサイバー攻撃の標的となりやすいということだけではない。
コンプライアンス上の問題や業務の遂行、製品の品質にまで影響を与えかねない深刻な問題を企業や組織におよぼす可能性がある。
企業や組織にとって多くのリスクをもたらしかねないシャドウITについて、NCSC（英国家サイバーセキュリティセンター）は既存のシャドウITへの対処だけでなく、将来持ち込まれる可能性のあるシャドウITを制限するために役立つガイダンスを今年7月に公表した。[1]
まず、組織的な対応について考えるにあたって、通常、ほとんどのシャドウITが意図的なルール違反の結果ではなく、企業や組織によって提供されているIT機器やサービスが「仕事を成し遂げる」ために十分でないことによる結果であるということが強調されている。
そして、多くの場合、従業員は組織を危険に晒していることに気が付いていない可能性がある。
具体的な取り組みとしては、クラウドストレージやメッセンジャーなど外部との連携をを防止することで、不必要なロックダウンを避けることを推奨している。そして、ユーザーとなる従業員のニーズを予測することができれば、シャドウITが持ち込まれることを防ぐことができるかもしれないとしている。
ユーザーが自分のニーズに対して迅速に対処されていないと感じる場合、独自のソリューションを持ち込みがちであるため、ユーザーからの要求に対処するための効果的でシンプルなプロセスを実装し、実行することが必要であるとしている。
企業や組織が認めていないサービスの利用については、企業や組織がサポートしているプラットフォームにデータを移行するなどの取り組みによって管理下におくことができる。
また、従業員が現状のポリシーやプロセスについて、問題をオープンに話し合えるコミュニケーションが取れるよう企業や組織のサイバーセキュリティ文化を醸成することも重要である。
企業や組織におけるサイバーセキュリティ文化の醸成についても、NCSCからツールキットが公開されている。[2]
従業員がサイバーセキュリティの問題によって叱責されることを恐れている場合、名乗り出ることを嫌がる。そのため、サイバーセキュリティ文化の醸成によって、従業員がシャドウITの事例を報告する可能性も高くなる。
つまり、サイバーセキュリティ文化が劣悪な状況では、シャドウITを検出できる可能性が低いということを意味する。
技術的な対応については、企業や組織がシャドウITによるリスクを管理するために役立つさまざまなテクノロジーや製品があり、これらの一部が紹介されている。
まず、シャドウITに対する数少ない効果的な対策であり、従業員が認可されていないデバイスを接続できないようにするための強力なネットワーク・アクセス制御です。
より高い効果を得るために、デバイスに発行された暗号化証明書を使用してネットワークへの接続を許可するかどうかを決定できる。
ただし、証明書を用いたネットワーク・アクセス制御を実装する際、特に802.1xを最初に展開する場合には時間を要する場合がある。また、古いデバイスでは802.1xまたはWPA2/3 Enterpriseをサポートできない可能性もあり、一部のポートで802.1xを無効にする必要がある場合もあるといった問題もあるため、全ての環境に万能であるとは言い難い。
また、ネットワークスキャナと呼ばれるツールを用いることで、内部ネットワークに接続されたデバイスや、デバイスにインストールされたエージェントを識別することができる。ネットワークスキャナによって生成されたデバイスのリストは、既知のIT資産のリストと比較したり、出現した資産を監視するために使用することができる。ただし、すべてのネットワーク範囲をスキャンできてしまうため、ネットワークスキャナを利用するためのIDとパスワードなどによる資格情報は、サイバー攻撃を行うものにとって貴重なターゲットとなることを認識する必要がある。
IT資産の管理については、20人以下の小規模組織であればIT資産管理をスプレッドシート上で手動で行うこともできるが、大規模な組織ではIT資産管理システムなどのより高度なツールを用いた分析が必要になる。
IT資産管理システムでは、接続されているデバイスの物理的な詳細、場所の詳細、ソフトウェアバージョンの詳細、所有権、接続情報（ホスト名、IPアドレス、ネットワークアダプタMACアドレスなど）などの重要な情報が含まれる。組織の規模が大きくなるほど、IT資産管理台帳への入力と更新が自動化され、正確であることを確認しなくてはならない。
この他にも、CASB（クラウド・アクセス・セキュリティ・ブローカー）によるネットワーク上のトラフィック監視によって、ユーザーによるクラウドサービスの使用を特定したり、UEM（統合エンドポイント管理）ツールによって、単一のダッシュボードから組織のエンドポイントデバイスを監視・管理・保護したりといった対応が可能である。
NCSCによるガイダンスで紹介された実践的な対応以外にも、実行可能な対応はいくつもあり、これらはシャドウITだけでなく企業や組織のサイバーセキュリティを強化することへと繋がる。
まず必要な取り組みは、シャドウITというものが存在することを認識し、その理由と伴うリスクを理解すること。この認識と理解が取り組みへの第一歩となる。
そして、前述したようにIT部門とビジネス部門のコミュニケーションを促進することで、ニーズを共有していかなくてはならない。
再三になるがシャドウITがもたらすリスクはサイバーリスクだけではない。
一部の従業員が用いていたシャドウITがある日突然、ツールのアップデートで作業が停止してしまい、プロジェクトが大幅に遅れたという事例もある。また、従業員がシャドウITを用いていたことから、経営陣はそのニーズを理解し、公式にサポートされ、セキュリティも確保された代替のアプリケーションを導入することに成功した事例もある。
これらは単にIT部門固有の問題ではなく、業務プロセス全体へと影響するものである。
そして、NCSCのガイダンスなどを参考に適切な対策と組織全体の意識向上をはかることで、シャドウITのリスクを最小限に抑えつつ、ビジネスの効率化を追求するバランスを見つけることができる可能性がある。
英国のサイバーセキュリティ・サイエンティスト。
サイバーセキュリティ企業の経営者としておよそ20年の経験を持ち、経営に対するサイバーリスクの的確で分かりやすいアドバイスに、日本を代表する企業経営層からの信頼も厚い。近年は技術・法規制・経営の交わる領域においてその知見を発揮している。
