シャドーIT

シャドーIT（シャドーアイティー、）とは、企業・組織側が把握せずに従業員または部門が業務に利用しているデバイスやクラウドサービスなどの情報技術(IT)のことである。

一般的に企業・組織の情報は管理者が適切に管理している状態を保つ必要があり、情報システム部門は各業務部署に情報システムや情報機器を提供する形でIT活用を運用している。スマートフォンやクラウドサービスの普及に伴い、従業員が個人所有の情報機器や外部のWebサービス、ネットワーク回線を利用する状況が広まり、企業や情報システム部門の目の届かないIT活用が増加した。企業・組織が保有する重要情報が管理部門の管理外で利用されることになり、情報流出や、攻撃の踏み台になるなどの情報セキュリティ事故が懸念され、問題となっている。

主な例

外部ストレージ・共有サービス: Google ドライブ、Dropbox、GigaFile便など。スケジューリングツール: 日程調整ツールやカレンダーなどの個人アカウント。コミュニケーションツール: LINE、Slack、Discordなどの個人アカウント。デバイス: 個人のスマートフォン、タブレット、USBメモリ。生成AI: ChatGPTなどの対話型AIへの業務データの入力。

影響

データ漏洩: 管理外のサービスに機密情報が保存され、アカウントの乗っ取りや誤操作により情報が流出する。コンプライアンス違反: 個人情報の保護に関する法律（個人情報保護法）やEU一般データ保護規則（GDPR）などの法的規制に抵触する可能性がある。統制の喪失: 組織全体のセキュリティポリシーが適用できず、サイバー攻撃を受けた際の検知や対応が遅れる。ベンダーロックイン・重複投資: 同じ機能を持つツールが部門ごとにバラバラに契約され、コスト効率が悪化する。

対策

シャドーITを完全に禁止することは現実的に困難であるため、現代のIT管理では「禁止」よりも「可視化と制御」に重点が置かれる。

CASB（Cloud Access Security Broker）の導入従業員のクラウド利用状況を可視化し、データのアップロード制限などを一括管理する。 BYOD・COPEのルール化私物デバイスの利用を許可する代わりに、MDM（モバイルデバイス管理）の導入を義務付ける。 SaaS管理プラットフォームの利用組織内で利用されているSaaSのアカウント数や費用を統合管理する。サンクションIT（Sanctioned IT）の推進現場が求める利便性の高いツールを、会社側が正式に承認（サンクション）して提供する。

出典

シャドーIT

Źródło i licencja