シャドーIT

シャドーITとは、IT部門の明示的な承認や認識なしに組織内で利用される ITシステム、アプリケーション、サービスを指し、セキュリティ およびコンプライアンス上のリスクを生み出します。

シャドーITとは

シャドーITは、従業員が公式のIT承認プロセスを経ずに導入・利用する あらゆるソフトウェア、ハードウェア、クラウドサービスを包含します。 SaaSアプリケーションから、業務に使用される個人デバイスまで多岐にわたります。

この現象は、クラウドサービスの普及と、クレジットカードでアクセスできる SaaS生産性ツールの拡大に伴い、指数関数的に増大してきました。

一般的な例

コラボレーションツール：未承認のSlack、Teams、Zoom。

クラウドストレージ：個人のDropbox、Google Drive、OneDrive。

プロジェクト管理：未承認のTrello、Asana、Monday.com。

開発：個人のGitHub、GitLab、AWSアカウント。

BYODデバイス：個人のノートパソコン、スマートフォン、タブレット。

メッセンジャー：業務コミュニケーション用のWhatsApp、Telegram、Signal。

セキュリティリスク

データ損失：管理されていないサービスに保存される企業データ。

情報漏洩：未承認の人物との不注意による 共有。

マルウェアとフィッシング：検証されていないアプリケーションは悪意があるか 侵害されている可能性があります。

暗号化の欠如：データが適切に保護されていない可能性があります。

脆弱な認証情報：脆弱なパスワードや使い回しのパスワードの使用。

MFAの欠如：多要素認証の不足。

安全でない連携：未承認のシステムを接続するAPI。

コンプライアンスリスク

LGPD/GDPR違反：確立された管理体制の外での個人データの処理。

業界規制への不適合：PCI-DSS、HIPAA、SOXなどの規制違反。

監査可能性の喪失：データアクセスを追跡できないこと。

不十分な契約：DPAやデータ保護条項の欠如。

シャドーITが発生する理由

遅いプロセス：ITの承認に時間がかかりすぎる。

不十分なツール：企業向けソリューションがニーズを満たさない。

代替手段の欠如：ITが同等の承認済み選択肢を提供していない。

複雑さ：公式ツールが複雑すぎる。

イノベーションの文化：チームが新しいツールを試したがる。

リモートワーク：即時のコラボレーションツールの必要性。

シャドーITの発見

Cloud Access Security Brokers (CASB)：使用中のクラウドアプリケーションの発見。

Network Monitoring：トラフィック分析による未承認 サービスの特定。

Endpoint Detection：EDRがインストール済みのアプリケーションを特定。

Cloud Discovery：ツールがSSOやプロキシのログをスキャン。

Expense Reports：企業経費の分析。

User Surveys：従業員が使用しているツールに関するアンケート。

管理戦略

1. 発見する：既存のシャドーITをすべて特定する。

2. リスクを評価する：アプリケーションをリスクレベルで分類する。

3. 対応を決定する：

  • 承認する：適切な管理のもとで利用を正当化する
  • 置き換える：承認済みの代替手段を提供する
  • ブロックする：高リスクツールの利用を禁止する

4. ガバナンスを実装する：新しいツールに対する明確な承認プロセス。

5. 教育する：リスクと承認済みの代替手段に関する意識を高める。

協働的なアプローチ

単に禁止するのではなく、協働的な姿勢をとる：

  • 従業員が特定のツールを選んだ理由を理解する
  • ニーズを満たす承認済みの代替手段を提供する
  • 正当なツールの承認プロセスを迅速化する
  • 事前承認済みアプリケーションのカタログを作成する
  • 新しいツールの評価に対する迅速なSLAを設定する

管理ツール

CASB (Cloud Access Security Broker)：Microsoft Defender for Cloud Apps、 Netskope、Zscaler。

SaaS Management：BetterCloud、Torii、Zylo。

DLP (Data Loss Prevention)：未承認サービスへのデータ流出を防止します。

Identity Management：アクセスを制御するための一元化されたSSO。

効果的なポリシー

  • 明確なIT利用規程
  • 透明性のある申請・承認プロセス
  • 容易にアクセスできる事前承認済みアプリケーションのカタログ
  • BYODに関するセキュリティガイドライン
  • 意図的な違反に対する明確な結果
  • 新しいツールの必要性を報告するためのインセンティブ

ベストプラクティス

  • IT警察ではなく、ビジネスパートナーになる
  • 使用中のすべてのアプリケーションの最新の目録を維持する
  • 可視性と制御のためにSSOを実装する
  • 新しいアプリケーションの発見を継続的に監視する
  • ポリシーとプロセスを定期的に見直す
  • 継続的なセキュリティトレーニングを提供する
  • シャドーITの削減を測定するための指標を確立する

最終的な提言

シャドーITは消え去る問題ではなく、現代の組織における現実です。効果的なアプローチは、 セキュリティ管理とビジネスの俊敏性のバランスを取ります。全面的な禁止は 反発を招き、シャドーITをさらに地下へと追いやります。解決策は、継続的な発見、 リスク評価、承認済みの代替手段、そして俊敏なガバナンスプロセスです。