シャドーITとは?会社が把握していない『私物ツール』が引き起こすリスク

「シャドーIT」と聞くと、悪意を持った不正利用のように聞こえるかもしれませんが、実態はそうではないケースがほとんどです。多くの場合、「その方が早い」「使い慣れている」という、ごく自然な理由から広がっていきます。

シャドーITとは「会社の目が届いていないIT利用」のこと

シャドーITとは、会社の情報システム部門が把握・許可していない端末やクラウドサービスを、従業員が業務のために使ってしまっている状態を指します。個人のスマホで会社のファイルを開く、無料のオンラインストレージに資料を保存する、会社が導入していないチャットアプリで取引先とやり取りする、といった行動が代表例です。

会社が用意した公式なITツールという「光の当たる場所」に対して、従業員が独自に持ち込んだツールは会社から見えない「影(シャドー)」の中で使われている、という意味合いでこの名前が付けられています。

なぜ、悪気なく広がってしまうのか

シャドーITが厄介なのは、使っている本人にほとんど後ろめたさがないことです。

• 会社支給のファイル共有サービスが使いにくく、個人のクラウドストレージの方が早い
• 社内チャットツールに取引先を招待できないため、個人のアカウントでやり取りする
• 会社のパソコンが重く、私物のノートパソコンで作業した方が快適

こうした状況では、従業員は「業務を早く終わらせるための工夫」のつもりで行動しています。むしろ、公式なツールが使いにくいこと自体が、シャドーITを生み出す一因になっているとも言えます。

何が問題になるのか

一番の問題は、情報が「どこに、どれだけ存在しているか」を会社側が把握できなくなることです。

私物のクラウドストレージに保存された顧客情報は、そのアカウントが乗っ取られたり、端末を紛失したりした際に、会社の管理外で情報が流出するリスクを抱えます。また、その従業員が退職した場合、私物端末やアカウントに残ったままの業務データを、会社側が回収・削除する手段がないことも少なくありません。

会社が「うちは情報漏えい対策をしている」と考えていても、実際には把握していない経路から情報が漏れる可能性がある、というのがシャドーITの本質的なリスクです。

対策は「禁止」だけでは機能しない

支援先でシャドーITの相談を受ける際、まず伝えているのは「禁止するだけでは、水面下に潜るだけで無くならない」ということです。個人のクラウドストレージの利用を一律禁止しても、それを補う便利な代替手段が用意されなければ、従業員はまた別の方法を見つけて同じことを繰り返してしまいます。

現実的な対策としては、次のような順序で進めることが多いです。

1. 今、実際に何が使われているかを把握する(禁止より先に実態調査)
2. 業務上、本当に必要な機能は何かを整理する(ファイル共有、外部との連携など)
3. 同等の機能を持つ、会社として安全に使える選択肢を用意する
4. 利用ルールを周知し、違反時の対応を明確にする

「便利だから使われている」のであれば、それに見合う「便利で、かつ安全な」選択肢を用意することが、シャドーITを減らす一番の近道だと感じています。

まとめ

シャドーITは、従業員の悪意ではなく、公式なツールの使いにくさや業務スピードへのこだわりから、自然に生まれてしまうものです。禁止だけで終わらせず、実態を把握したうえで、安全に使える代替手段を用意することが、現実的で効果のある対策につながります。

参考

• 情報セキュリティ - IPA 独立行政法人 情報処理推進機構
• テレワークにおけるセキュリティ確保 - 総務省

※ 内容は変化することがあるため、最新の情報は上記の公式ページもあわせてご確認ください。

関連記事:最小権限の原則とは