シャドーIT
組織が把握・承認・管理していない端末、クラウドサービス、アプリなどが業務で使われている状態。
概要
シャドーITは、組織のIT部門や管理部門が把握・承認・管理していない端末、アプリ、クラウドサービスなどが、業務のために使われている状態です。
問題の中心は、単に「許可されていない道具を使ったこと」ではありません。組織が利用実態や保存データを把握できず、通常の資産管理、アクセス制御、監査、障害対応、退職時の引き継ぎなどを適用できない点にあります。
具体例
- 個人のクラウドストレージへ業務ファイルを保存する
- 未承認のチャット、オンラインストレージ、タスク管理サービスを使う
- 個人所有のPCやスマートフォンへ業務データを移す
- 部署がIT部門を通さずにSaaSを契約する
- 個人アカウントで業務用のソースコードや文書を管理する
- 管理台帳にないサーバー、IoT機器、ネットワーク機器を運用する
- 担当者だけが把握しているマクロや自動化ツールに業務を依存させる
無料サービスや個人端末だけが対象ではありません。有料で安全性の高い製品でも、組織が存在や設定を把握していなければシャドーITになり得ます。
なぜ発生するのか
シャドーITは、悪意よりも「仕事を進めるための迂回」によって生じることがあります。
- 承認済みのツールでは作業しにくい
- 導入申請に時間がかかる
- 必要な機能を持つ公式ツールがない
- 利用できるサービスや禁止事項が分からない
- リモートワークや部署ごとの業務を中央部門が把握できていない
- 小さな試行のために正式な調達手続きを行う負担が大きい
- 一時利用のつもりで始め、業務に定着した
したがって、禁止の周知だけでは根本原因が残ります。利用者が何を解決しようとしていたかを把握し、安全な代替手段や小規模な検証経路を用意する必要があります。
主なリスク
データを把握できない
どのデータが、どのサービスへ、誰によって保存されたか分からなくなります。保存場所、バックアップ、保持期間、削除方法も組織の方針から外れる可能性があります。
アクセスを管理できない
組織アカウントやシングルサインオンの外で使われると、権限変更、退職者の停止、多要素認証の強制などを一元管理できません。
設定と脆弱性を管理できない
管理対象外の端末やサービスには、更新、設定確認、ログ収集、脆弱性対応が適用されない場合があります。
監査とインシデント対応が難しくなる
ログや契約情報がなく、情報漏えい時に「何が保存され、誰がアクセスしたか」を調査できない可能性があります。
特定の担当者へ依存する
個人アカウントや独自ツールで業務を管理すると、異動や退職によってデータや手順へアクセスできなくなることがあります。
利用者が確認すること
新しいサービスや端末を業務で使う前に、次を確認します。
- 組織で利用が許可されているか
- 入力・保存してよい情報の範囲
- 個人情報、顧客情報、認証情報、ソースコードを扱うか
- データの保存場所、保持期間、削除方法
- 外部事業者がデータを二次利用するか
- 個人アカウントではなく組織アカウントを使えるか
- 契約終了や退職時にデータを引き継げるか
- 問題が起きた場合の報告先
判断できない場合は、データを投入する前に確認します。
組織側の対策
利用実態を発見する
資産台帳、契約・経費、ネットワークや認証ログ、利用者への聞き取りなどを組み合わせます。発見を処罰だけに結び付けると、利用実態がさらに隠れる可能性があります。
承認済みサービスを分かりやすくする
利用可能なサービス、扱えるデータ、申請先、代替手段を明確にします。ルールは「禁止」だけでなく、業務を安全に進める方法まで示します。
導入と検証の経路を整える
小規模な試行、期限付き利用、セキュリティ確認を行える軽量な手続きを用意します。正式導入しか選択肢がないと、現場は非公式な利用へ流れやすくなります。
管理下へ移す
必要性があるサービスは、組織契約、アカウント統合、権限管理、ログ保存、データ移行などを行い、管理対象へ取り込みます。必要性が低い場合は、安全に停止・削除します。
シャドーAIとの関係
シャドーAIは、未承認・未管理のAIサービスを業務で利用する状態であり、シャドーITの一種です。
ただし生成AIでは、プロンプトへ入力した情報、生成された出力、会話履歴、外部連携、モデルによる誤った出力など、AI固有の確認事項が加わります。
参考文献
更新履歴
- 初版作成