シャドーITとは？シャドーITのリスクと対策

2021/10/26 テレワーク

近年、シャドーITというものが問題になっています。このシャドーITはクラウドサービスの普及にともない、増えてきたと考えられています。シャドーITはセキュリティ面で重大なリスクを抱えている面もあり、企業としてはシャドーITを抑えたいところです。

そこで今回は、シャドーITの具体例や対策方法についてご紹介します。

シャドーITとは？

シャドーITとは、企業が許可していない機器やクラウドサービスを社員が勝手に利用することです。管理者側からは見えないITであることから、シャドーITと呼ばれています。

同じく私物端末を使う方法として、BYODがあります。BYODとシャドーITの違いは、BYODは企業側が許可した私物端末のことで、シャドーITは許可されていないという点が異なる部分です。BYODは内容や使用状況について、管理されていてセキュリティ面では比較的安心できる方法です。

シャドーITは、企業側からすると使われている端末が把握できないため、セキュリティ管理ができません。

シャドーITに該当する例

シャドーITの具体的な例をご紹介します。

業務で利用するファイルを自宅のパソコンなどで勝手に開く

退勤後、自宅で仕事をするために自分のパソコンで業務をするという方もいるかもしれません。特に、近年働き方改革の影響で、業務量は変わらないけど残業ができなくなったというケースが増えています。業務量が変わらないため、仕事を家に持ち帰ってまでもやる方がいるというわけです。

こういった「仕事の持ち帰り」を防ぐためには、単に禁止をするだけではなく業務量の見直しや作業効率アップにつながるツール・サービスの利用を検討すると良いでしょう。

利用許可が下りていないビジネスチャットやクラウドサービスを利用する

やりとりのしやすさから、勝手にビジネスチャットやクラウドサービスを利用しているというケースもあります。この場合は、企業側から使いやすいサービスの利用許可を認めると良いでしょう。

ただし、業務に関係のないシステム・サービスについては、禁止するようルールを設けるようにするのがおすすめです。

外部のインターネットに業務用パソコンを接続する

公共のWi-Fiを使うこともシャドーITの1つ。公共のWi-Fiは、誰でも利用できるようになっています。そのため、ネットワークを通じて通信が閲覧できてしまうことも。最悪の場合、パソコン内の情報が盗まれることもあります。

シャドーITのリスク

企業側にとってセキュリティ管理ができない、認められていない端末を業務へ利用することは、リスクがあるということになります。では、シャドーITによるリスクとはどのようなものが挙げられるのでしょうか。

マルウェアへの感染

シャドーITはセキュリティ対策ソフトが導入されていないケースも多いです。そのため、マルウェアに感染してしまうこともあります。感染したまま、クラウドサービスなどにアクセスしてしまうとデータを盗まれたり、保存したファイルから感染が広がってしまったりなどの被害に遭ってしまいます。

個人情報の漏えいの恐れ

無料のファイル共有サービスを使っていて、操作ミスにより情報漏えいをしてしまうケースが考えられます。

他にも端末を紛失・盗難に遭うこともあります。企業側で管理する場合は、遠隔操作でリセットすることが可能です。しかし、個人所有のパソコン・スマートフォンには、それを行うことができません。セキュリティが十分でなければ、不正アクセスをされたり、情報を外部に流出させてしまったりなどの危険性があります。

不正アクセスに遭う

セキュリティ強度の弱いネットワークを利用することで、第三者に情報を盗まれ不正アクセスの被害に遭ってしまう恐れもあります。例えば、公共の場にあるWi-Fiを利用し、チャットやクラウドサービスを利用すれば、盗み見されることも。ID・パスワードが盗まれれば、不正アクセスされることもあります。

シャドーITによるトラブルの実例

シャドーITによるトラブルは実際に起こっています。ここでは、シャドーITによるトラブルの実例をご紹介します。

フリーメールを経由した情報漏えい

ある自治体では、フリーメールを介して個人情報が漏えいする事件が起こりました。フリーメールの利用は禁止されていたものの、該当の従業員は無許可で利用していたそうです。簡単に推測できるパスワードを利用していたため、不正アクセスに遭い、個人情報の漏えいにつながってしまったケースです。

無料のファイル送信サービスによる情報漏えい

無料のファイル送信サービスが不正アクセスに遭い、利用者の個人情報が流出する事件が起こりました。

このサービスは、無料であることや使い勝手の良さから、ビジネスで利用されているケースも。しかし、そのほとんどは利用が許可されたものというわけではなく、社員が独断で使っていたケースも多かったようです。この事件から、管理者が正確な利用実態を把握できていないことが問題となり、よりシャドーITへの警戒が強まりました。