シャドーITとは何か？
リスクや発生する原因と対策を解説

シャドーITとは？

シャドーITとは、会社に無断で従業員が導入したパソコン・スマートフォン・タブレットのようなデバイスや、オンラインストレージやクラウドサービス、アプリなどを指します。

従業員が使用するオンラインサービスを企業側がすべて管理するのは難しく、問題点があったとしても対策されないまま放置される可能性が高いことが問題となっています。オンラインサービスの種類が充実し、利便性が高まる一方で、シャドーITは企業にとって、セキュリティ上の重大なリスクを抱える問題となってきています。

2023年に発表された経済産業省『サイバーセキュリティ経営ガイドライン』でも、昨今盛んに取り沙汰される企業のサイバーセキュリティ対策において従業員に「シャドーIT」を行わせないことが重要な対策として挙げられています。

※参考：経済産業省『サイバーセキュリティ経営ガイドライン』 (PDF)

シャドーITとBYODの違い

BYOD（Bring Your Own Device）という考え方は、企業が認める形で私用デバイスを業務に利用すること許可していることを指す言葉です。

BYODを採択している企業は、従業員が私有デバイスを使用するという前提で一定のルールとセキュリティ基準を設けながら対策を組んでいるのに対し、一方のシャドーITは従業員が会社に無断で私有のツールやサービスを使うことを指すため、リスク対策の前提が異なります。

シャドーITとして利用されやすい6つのツール・サービス

シャドーITとして利用されやすいツールやサービスには、以下のようなものが挙げられます。

• クラウドサービス
• フリーメール
• チャットツール
• 無線LAN・Wi-Fi
• 私用のデバイス
• USBメモリ

それぞれのツール・サービスについて、シャドーITとして利用されるリスクを解説します。

クラウドサービス

シャドーITとして頻繁に利用されるツールの一つが、クラウドサービスです。インターネット環境さえあれば、場所を問わず業務に必要なデータにアクセスできるため、業務効率の大幅な向上が期待できます。

しかし、この便利さには潜在的な危険が伴います。従業員が会社に無断で個人アカウントを使用し、業務データを保存・共有してしまうと、セキュリティ上の重大な問題を引き起こす可能性があります。

特に懸念されるのは、クラウドサービスの権限設定ミスです。適切に管理されていないアカウントは、不正アクセスや情報漏えいの格好の標的となり、企業に甚大な被害をもたらす恐れがあります。

フリーメール

シャドーITのリスクをはらむツールの中で、フリーメールサービスは特に注意が必要です。フリーメールの業務利用に伴うリスクは多岐に渡り、業務関連のメールを誤って個人的な知人や友人に送信してしまったり、重要な取引先とのやり取りが迷惑メールフォルダに振り分けられて見逃されたり、大量の個人的なメールに埋もれて確認が遅れたりといった事態も起こり得ます。さらに深刻なケースでは、誤送信により業務と無関係な第三者に重要情報が渡り、悪用されるといった懸念もあります。

チャットツール

チャットツールは現代のビジネスコミュニケーションに欠かせない存在となっています。瞬時の情報共有や円滑な協力体制の構築など、その効果は非常に大きいです。しかしこの便利なツールも適切な管理を怠ると、シャドーITによる事故の温床となる危険性をはらんでいます。

懸念されるのは、従業員が会社の許可なく個人のチャットツールを業務に使用するケースです。特に機密情報のやり取りがこうした非公式チャネルで行われると、情報漏洩のリスクが飛躍的に高まります。

さらに外部の個人や顧客とのコミュニケーションを公式のルートを介さずにチャットツールで行うことは、セキュリティ上極めて危険です。

無線LAN・Wi-Fi

ビジネスの現場で欠かせなくなった無線LANと公衆Wi-Fi。その利便性はいうまでもありませんが、同時に重大なセキュリティリスクも抱えています。

特に注意が必要なのは公共Wi-Fiです。多くの場合、暗号化が不十分であるため、悪意ある第三者による通信の傍受や、デバイスへの不正アクセスの標的になりやすいといわれています。

さらに厄介なのは、企業がこうしたリスクの存在に気付きにくい点です。従業員が無断でこれらのネットワークを利用している場合、企業は知らぬ間に情報漏洩の危機に直面していることになります。

私用のデバイス

従業員の私用デバイスも、シャドーITとして利用されやすいでしょう。セキュリティ対策がされていない私用デバイスで社内ネットワークやシステムに接続すると、社内全体にマルウェアが蔓延する危険性が高まります。

なおマルウェアとは、悪意のあるソフトウェア（悪質なソフトウェア）のことです。マルウェアはコンピュータやネットワークに侵入し、データの窃盗やシステムの破壊、スパムメールの送信などを引き起こします。それゆえ、私用デバイスを利用したシャドーITは、企業のセキュリティに対する脅威となるでしょう。

USBメモリ

シャドーITの代表格として、USBメモリの存在を見逃すことはできません。その小ささと大容量、そして手軽さ故に、従業員が業務データを自宅に持ち帰る際の手段として選びがちです。しかしこの便利なツールは同時に、企業の情報セキュリティを脅かす重大なリスクをはらんでいます。

USBメモリを社外のパソコンに接続する瞬間に、ウイルス感染や不正アクセスの可能性が一気に高まります。さらに、その小ささ故に紛失のリスクも無視できません。一度データが外部に流出すれば、取り返しのつかない事態を招きかねません。

シャドーITに潜む5つのリスク

以下では、シャドーITに潜む5つのリスクについて解説します。

情報漏えい

企業が管理していないデバイスやITサービスを、セキュリティが甘い状態で使用した場合、情報漏えいのリスクが高まります。

例えば、従業員が外部の無料クラウドストレージに、企業の重要なデータを保存するケースも考えられます。しかし、利用したクラウドストレージのセキュリティが不十分な場合、ハッキングやアカウントの乗っ取りによって機密情報が外部に漏れる可能性が高まるでしょう。

また私物のデバイスを業務に使用した際に、退職後にデバイス内に情報が残るリスクもあります。その他にも、フリーメールを用いた場合での誤送信やUSBの紛失など、シャドーITによってさまざまな形での情報漏えいが懸念されます。

マルウェア感染

セキュリティ対策が不十分な私用のスマートフォンやパソコンが業務に使用されると、マルウェア感染のリスクが増加します。

また企業が管理するパソコンであっても、企業の許可なく導入されたアプリケーションにマルウェアが仕込まれている場合もあります。

そしてマルウェアに感染したデバイスが会社のネットワークに接続されると、他のIT機器にも感染が広がる恐れがあり、企業全体のネットワークが危険にさらされるでしょう。

アカウントの乗っ取り

シャドーITで使用されるツールやサービスは企業が管理していないため、セキュリティ設定が十分とは言い切れません。

そのためシャドーITとして使用しているツールやサービスのアカウントが乗っ取られてしまう可能性があります。特に無料チャットアプリやフリーメールなどを業務で使用する場合、セキュリティ対策がおろそかになりがちです。

アカウントを乗っ取られた場合、過去のやり取りや業務上の機密情報を盗み見られ、重大な情報漏えいに発展する可能性があります。

不正アクセス

シャドーITによる問題として「社内ネットワークの不正アクセスリスクの増加」があります。

社外のフリーWi-Fiを利用して社内システムにアクセスするケースでは、第三者が悪意を持って侵入する事態も考えられます。悪意ある第三者が社内システムに侵入した場合、情報漏えいやデバイスの遠隔操作、盗聴といった深刻な被害が発生する可能性が高まるでしょう。

またフリーWi-Fiには、不正アクセスを目的とした「なりすましのアクセスポイント」も存在します。そのため、従業員に対するセキュリティの教育やフリーWi-Fiを使用せずに済む環境整備が重要です。

従業員がシャドーITを利用する4つの理由

従業員は悪意を持ってシャドーITを利用しているわけではなく、むしろ業務効率を考えて利用している場合もあるでしょう。そのため「なぜシャドーITを利用するのか？」を考えることが、シャドーIT対策のヒントとなります。

以下では、従業員がシャドーITを利用する理由について解説します。

従業員のセキュリティへの理解不足

シャドーITが利用される原因に、従業員のセキュリティリテラシーの不足が考えられます。従業員の中には、私物を業務に利用することが危険であるという認識が薄く、シャドーITがもたらすリスクを深く考えずに行動してしまう方もいるでしょう。

シャドーITへの理解が低い従業員は「シャドーITがなぜ悪いのか」や「どういったリスクがあるのか」を想像できていない可能性があります。

社内インフラの整備不足

社内インフラの整備不足も、シャドーITが利用される原因です。企業が適切なデバイスやツールを提供していない場合、従業員は業務効率を上げるために、私用のデバイスや外部サービスを利用する可能性があります。

例えば、社用車に搭載されたカーナビの情報が古い場合、従業員がWEBで無料提供されているマップアプリなどを利用しても不思議ではないでしょう。その場合、従業員に悪意はなくとも、結果的に企業のセキュリティリスクを高めることにつながってしまいます。

企業が黙認している

社内インフラの整備不足も、シャドーITが利用される一つの要因となり得ます。企業が適切なデバイスやツールを提供していない場合、従業員は業務効率を上げるために、私用のデバイスや外部サービスを利用する可能性があります。

企業は本来、シャドーITのリスクを減らすためのルール策定や対策を進めるべきですが、予算やリソースの不足により取り締まれていないケースもあるでしょう。

しかしシャドーITが利用された場合、会社は十分なリスク管理を行えません。そのためトラブルが生じる前に、シャドーITに目を向ける必要があります。

シャドーITの利用を防ぐには

シャドーITの利用を防ぐには、複合的なアプローチが必要です。以下に、効果的な対策をいくつか紹介します。

適切な社内インフラの整備

まず重要なのは、従業員が業務を円滑に遂行できるよう、適切な社内インフラを整備することです。これには、最新のツールやサービスの導入も含まれます。例えばクラウドベースの協働プラットフォームや、セキュリティを重視したファイル共有システムなどが考えられます。

従業員のニーズ把握と既存ツールの改善

シャドーITの根本的な原因に対処するには、従業員のニーズを深く理解することが不可欠です。定期的なアンケートや面談を通じて、業務上の課題や必要なツールについて情報を収集しましょう。そして、効率の悪い既存のツールは積極的に改善や更新を行います。

アクセス管理と監視体制の強化

技術的な側面からは、アクセス管理や監視体制を強化することが有効です。例えば、多要素認証の導入や、ネットワークトラフィックの監視システムの実装などが考えられます。これにより、未承認のツールやサービスの利用を事前に防げます。

継続的な教育とポリシーの明確化

最後に、教育を継続的に実施することが重要です。セキュリティリスクに対する意識を高めるだけでなく、承認されたツールの使用方法や、新しいツールのリクエスト方法についても明確に伝えましょう。また、シャドーIT使用に関する会社のポリシーを明文化し、定期的に周知することも効果的です。