クラウドのせいにするにせよ、パンデミックのせいにするにせよ、集中型ITの崩壊のせいにするにせよ、AI革命のせいにするにせよ、あるいはそのすべてを理由とするにせよ、多くの組織においてシャドウITは制御不能な状態に陥っています。
シャドーIT――つまり、IT部門からの明示的な承認 や監督 なしに、従業員が情報技術システム、デバイス、ソフトウェア、およびサービスを利用する行為 ――は、 さまざまな形態をとり得ます。例えば、新しいツールの無料トライアルに登録する従業員などが挙げられます。 これは、管理権限を持つマネージャーが、自身の部署向けの申請を承認し、IT部門の監督や許可なしにそれを実施するケースです。 この新入社員はハイブリッド勤務制を採用しており、自宅のオフィスと会社のオフィスとの間で、USBメモリを使って書類を持ち運んでいます。
ガートナーの調査によると、この問題は急速に深刻化しているとのことです。 あるテクノロジー調査会社は、今後3年以内に、 従業員の75 パーセント が、IT部門の監視の及ばない範囲でテクノロジーを入手、変更、または作成することになると予測しています。これは、 2023年の 41 パーセントから増加した数値です。
「現時点では、ほとんどの組織において、テクノロジーと分析業務の民主化が進んでいます」と、ガートナーのディスティンギッシュド・バイス・プレジデント・アナリストであるリー・マクマレン氏は、昨年開催された同社のリスク管理サミットでの基調講演で説明しました。 「IT本部や各部門のIT部門の内部よりも、その外側で起きていることの方が多くあります。」 「シャドウITは今や、ごく当たり前のこととなっています。」
でのリモートワークへの大規模な移行 が、その主な要因となっています。 「シャドーITは以前から存在していましたが、パンデミック以降、リモートワークの普及に伴い、人々が独自のITソリューションを考案するようになり、その規模が爆発的に拡大しました」と、テクノロジー・アドバイザリー企業NeuEonのCISO兼サイバーリスク・プラクティス・リードであるキャンディ・アレクサンダー氏は、 の『Focal Point』（）との独占インタビューで述べました。
のクラウド やSaaS（Software-as-a-Service）の爆発的な普及は、この問題をさらに深刻化させています。 そして、目前に迫る のAI革命 により、これはもはや企業が無視できない問題となっています。 「従業員が自分で解決策を見つけ出すのは、とても簡単なんです」とアレクサンダー氏は言います。 「本当に手に負えない状況です。」
[関連記事：リスク管理とは何でしょうか？ 【概要（簡略版）】 （新しいタブで開きます）
シャドウITがさらに勢いを増しています――「シャドウAI」をご紹介します
今日の組織における技術の無許可使用に関する最新の懸念の一つとして、「シャドウAI」、すなわち文書、コード、画像、音声を作成するために生成AIが利用されることが挙げられます。 シャドウAIは、シャドウITと同様に、あるいはそれ以上に、組織にリスクをもたらします。
「中央IT部門や各部門のIT機能の内部よりも、その外部でより多くのことが起こっています。」 「シャドウITは今や当たり前となっています。」ガートナーのバイスプレジデント兼アナリスト、リー・マクマレン氏
「 の生成AIの導入が急速に進んでいるため、多くの組織では、AIの利用に関するガイドラインを策定する機会がまだ得られていないのです」とアレクサンダー氏は述べています。 シャドーAIの主なリスクには、組織がコンテンツの調達源としているデータプールが挙げられます。 もしそれが不正確であったり偏りがあったりすれば、結果も同様に不正確・偏ったものとなり、組織の評判や製品の信頼性に悪影響を及ぼす可能性があります。
例えば、マーケティング担当者が、AIを活用した のソーシャルメディア 分析ツールを活用し、顧客の行動を分析したり、広告キャンペーンを最適化したり、トレンドを予測したりし始めるというシナリオを考えてみましょう。 これらの従業員は、AIを活用したツールを使用することについて組織からの承認を得ていなかったため、適切な管理が行われておらず、適切なセキュリティ対策も講じられていません。 これにより生じうる脅威としては、ツール が機密性の高い顧客データ や専有情報にアクセスし、データ漏洩につながる可能性や、 HIPAA や EU の GDPR といった規制要件への準拠が図れないことが挙げられます。
IT部門の承認を得ずにこれらのシステム、ソフトウェア、サービス、およびデバイスを調達・利用することは、組織にとって大きな課題をもたらす、とアレクサンダー氏は述べています。 どのアプリケーションやツールがデータにアクセスできるのかが不明確であるため、組織のデータがリスクにさらされることになります。また、コンプライアンス上の問題を引き起こす可能性があり、特定の措置が講じられない場合、 法的措置 や 罰金 が科される恐れがあります。さらに、シームレスに統合されない異種混在のシステムが存在する、断片化されたIT環境を助長することにもつながります。
[関連記事：組織内でシャドーITが利用されている 6 の理由]
「データ保護におけるセキュリティとは、特定、管理、監視がすべてです」と彼女は言います。 「それに、従業員が外に出て、あちこちの至る所に物を置き散らかしているような状況では、そんなことは到底できません。」 「その前にいないときは、それに対するコントロールをすべて失ってしまうのです。」
シャドウITの摘発
適切なツールや手順がなければ、シャドウITが組織にどの程度の影響を与えているかを把握することは困難です。 しかし、Taniumの公共部門CIOであるクリス・クルーズ氏によると、注目すべき兆候がいくつかあるとのことです。 シャドーITは、各部門が中央のIT部門に報告を行わない組織でよく見られ、その結果、ガバナンス体制や一元的な調達体制が欠如することになります。 その結果、こうしたグループは独自の判断を下し、独自の製品を購入し、独自の手順に従う傾向がある、と彼は述べています。
「従業員が自分で解決策を見つけ出すのは、とても簡単です。」NeuEonのCISO兼サイバーリスク部門責任者、キャンディ・アレクサンダー氏
シャドウITのその他の兆候としては、承認されたITプロジェクトに沿っていない、許可されていないツールやソフトウェアの購入を示唆する、理由の説明がつかないIT支出の増加、個人が自身の決定について透明性を確保する必要がない、中央ネットワークから切り離されたフェデレーテッドネットワーク、そして最終的には、承認されていないITソリューションに起因する可能性のあるセキュリティインシデントやデータ漏洩などが挙げられます。
シャドウITを適切に管理する
これほど重大な問題である以上、組織は、ソフトウェアやアプリケーションを検出するツールの導入から、ユーザーが使用する技術に関する話し合いへの参加まで、シャドウITを削減・管理するための具体的な措置を講じるべきです：
1. 資産管理および資産発見技術への投資
組織内の資産を記録・追跡するために使用される資産管理ツール（）と、ネットワークをスキャンして組織のネットワークに接続されているハードウェアやソフトウェアを検出する資産発見ツールは、シャドーITの取り締まりにおいて重要な2つの技術です。
[関連記事：IT資産の検出とインベントリとは？
「今日の多くの組織では、ネットワークに接続されている資産が何であるか把握できていません」とクルス氏は述べています。 「彼らは、 のエンドポイントが いくつあるのか、またネットワーク内にどのような資産が含まれているのかを知りません。」 「適切な資産管理と、エンドポイントで何が起きているかを把握しなければ、『測定できないものは管理できない』のです。」
例えば、従業員数約 120 人のある企業では、ディスカバリー技術によって、組織が自社のネットワーク内に存在することすら知らなかった148 のアプリケーションが特定されたと、アレクサンダー氏は述べています。 「組織の規模を考えると、それは本当に信じられないことですが、こうしたツールのおかげで、何が起きているのかがはっきりと把握できるようになります。」
[関連記事：適切な資産インベントリの作成は、ソフトウェアサプライチェーンのセキュリティ確保に向けた第一歩でもあります。その重要性と、AIや自動化を活用して取り組みを始める方法についてご紹介します]
クルス氏は、これらのツールは、組織が未知のエンドポイント、ソフトウェア、およびサブスクリプションを特定するのに役立つだけでなく、レガシーソフトウェアを廃止することでコスト削減にもつながると付け加えています。 「企業は、実際には使用していないソフトウェアの料金を、今も支払っている可能性があります。」 「これらのツールは、所有しているソフトウェアに対して適切なライセンスが取得されていることを確認するのにも役立ち、監査の際に問題が発生しないようにするのです」と彼は述べています。
2。 在庫リストを作成する
ツール、ハードウェア、ソフトウェアの調査を行った後、組織はインベントリを作成し、現在も使用されているもの、必要かどうか、重複している部分、廃止可能なレガシーソフトウェア、および契約条件の再交渉が可能なソフトウェアを特定すべきだと、クルス氏は述べています。
「測定できないものは管理できません。」クリス・クルーズ氏、タニウム社 公共部門CIO
「このインベントリによって、どのソフトウェアにおいて、まだ利用権限が解除されておらず、重要なデータにアクセスできる可能性があるユーザーがいるかを特定することもできます」とクルーズ氏は述べています。 「これは、運用能力の向上やROIの向上に役立つだけでなく、セキュリティ体制の整備や、従来は測定できなかった潜在的なセキュリティ脆弱性があるソフトウェアの削減にも寄与します。」
3。 ユーザーコミュニティを巻き込む
シャドーITの根本的な原因は従業員にあるため、組織としては、従業員が使用しているソフトウェアやツールについて、彼らを議論に巻き込むことが極めて重要だと、アレクサンダー氏は述べています。 彼女は、類似したさまざまなツールやアプリケーションを、選択肢が数つに絞られるようなカテゴリーに分類し、その後、 コミュニティがそれらを利用している理由や、 どのような点が気に入られているのかを理解するよう勧めています。
「最初に言うべき言葉は、『いいえ、それはできません』であってはなりません。」 ビジネス部門やユーザーコミュニティとの関係を築き、彼らがなぜこれらのツールを利用しているのかをしっかりと理解する必要があります。 それは、彼らが昔からそれを使ってきたからでしょうか？ 誰かに「試してみて」と言われたからでしょうか？ 「それは、組織が持っているツールがニーズを満たしていないからでしょうか？」 と彼女は言います。 「彼らの意見を聞くことで、技術選定において重要な役割を担っているという実感から、彼らは自分たちが大切にされていると感じるのです。」
4。 教育と研修を優先する
クルス氏は、従業員が新しいツールやアプリケーションを導入しようとする際には、従うべき手順があることを理解することが重要だと述べています。 組織内のシャドウITを減らすためには、そうした標準的な業務手順に関する教育が極めて重要だと、同氏は述べています。
「私たちの最優先事項は、安全な行動を最も簡単な行動にすることです。」マクマレン
「 のユーザーは、 の解決策の一翼を担う必要がありますが、新しいテクノロジーを導入する際には、誰もが同じ方針や手順に従わなければならないことも理解しなければなりません」と彼は述べています。 「そうした取り組みを推進し、組織内でそのレベルのコミュニケーション、連携、信頼を築くことができれば、今後、シャドウITへの対応をより効果的に行い、誰もが遵守すべき適切なポリシーを確実に整備できるようになるでしょう。」
実際、ガートナーによると、ユーザーと協力してセキュリティ対策を設計することで、安全な行動をとる可能性が 23％高まるとのことです。 「私たちは、サイバーセキュリティにおいて、従業員体験（ ） に徹底的にこだわる必要があります」と、ガートナー社のマクマレン氏は助言しました。 「私たちの最優先事項は、安全な行動を最も取りやすい行動にすることです。」
[関連記事：従業員のストレスや集中力の低下がかつてないほど深刻化する中、企業はデジタル従業員体験（DEX）プラットフォームに救いとセキュリティを見出しています]
これらの方針には、従業員が事前に承認されたアプリケーションのみを使用できるという規定を含めるべきですが、組織としては、ユーザーが新しいアプリケーションや評価用のツールを申請するための手順も用意すべきです。その方法は、専用のポータルを通じてであれ、ヘルプデスクのチケットを通じてであれ、とアレクサンダー氏は述べています。 「これは重要なことです。なぜなら、技術的なニーズを決定する過程で、人々が協力できると感じてもらいたいからです」と彼女は言います。
組織がシャドーITの管理に取り組むにあたり、これは継続的なプロセスであることを理解する必要がある、とクルス氏は述べています。 「測定、管理、フォローアップを行い、全員が共通のプロセスや基準に従っていることを確認し、それぞれの環境内でドアの施錠が解除されていないことの重要性を理解してもらうことが重要です」と彼は述べています。 「私はいつも、『予防は治療に勝る』と言っていますが、これこそがそのための正しい方法なのです。」
