企業が抱える情報セキュリティ上の弱点の一つに、シャドーITがある。 シャドーITに該当する事例として、最も適切なものはどれか。
正解：ウ
ア会社が貸与したPCに、情報システム部門が認めた業務用ソフトを追加で導入する。
誤り。会社の管理下にある機器へ、承認された手順でソフトを入れる通常の運用です。 把握されている以上、シャドーITにはあたりません。 承認を経ているかどうかが分かれ目になります。
イ社内規程に基づいて申請し、許可を受けた私物のスマートフォンで業務を行う。
誤り。これはBYOD（私物端末の業務利用）で、会社が認めた上での運用です。 同じ私物端末でも、会社が把握し条件を定めていれば管理下にあります。 無断で使えばシャドーITになる、という関係です。
ウ情報システム部門に知らせず、部門の判断で無料のオンラインストレージを使う。
正解。シャドーITです。悪意はなく業務効率のためであっても、会社が把握して いないため、利用状況の確認も退職時の停止もできません。 管理の目が届かない経路が生まれることが弱点になります。
エ退職した社員のアカウントが削除されず、ログインできる状態のまま残っている。
誤り。アカウント管理の不備であり、これも脆弱性ですが、 対象は会社が把握している正規のシステムです。会社が知らない機器やサービスが 使われていることを指すシャドーITとは、弱点の生じる場所が違います。
会社が知らないところで増えていく「もう一つのIT」
シャドーITは、従業員や部門が、会社の承認を得ないまま業務に使っている機器や サービスのことです。無料のオンラインストレージ、個人のチャットアプリ、 私物のUSBメモリや家庭のPCなどが典型です。
多くの場合、動機は悪意ではなく「そのほうが速いから」です。 承認を待つ時間が惜しい、社内の仕組みが使いにくい、という現場の事情から生まれます。 だからこそ広がりやすく、情報システム部門から見えない領域が静かに育っていきます。
なぜ弱点になるのか
- どこに業務データが置かれているのか、会社として把握できない
- 事業者の障害やサービス終了が起きても、影響範囲を確認できない
- 退職や異動のときにアクセス権を止められず、データが残り続ける
- 事故が起きたとき、そもそも使っていた事実に気づけない
BYODとの違いはどこか
| 用語 | 会社の把握・承認 |
|---|---|
| シャドーIT | なし。会社が知らない機器やサービスを業務に使っている |
| BYOD | あり。私物端末の業務利用を、条件を定めて会社が認めている |
| セキュリティホール | 対象が違う。ソフトウェアに残る設計・実装上の欠陥 |
同じ私物のスマートフォンでも、申請して許可されていればBYOD、 黙って使っていればシャドーITです。機器の持ち主ではなく、会社が把握しているか で判断するのがポイントです。禁止するだけでは隠れて使われるため、 使いやすい正規の手段を用意することが解決の方向になります。