サマリ
従業員が自分のITサービス、ソリューション、またはデバイスを使用し、IT部門がそれを承認していないか、知らない場合、それがシャドーIT（Shadow IT）です。これは増大する問題です。 従業員は一般的に善意を持っていますが、組織への危険性を認識していません。 セキュリティチームの仕事は、なぜ彼らが外部のアプリに頼っているのかを把握し、目標を達成するための安全でセキュアな方法を提供することです。
「セキュリティはビジネスのために機能する必要があると言ったとき、まさにその通りだと思います」とTaniumのStephanie Acevesは言います。 「それは：このボックスにチェックを入れるために40のことをしなさい、ということではありません。」
ホスト: Stephanie Aceves、 プロダクトマネジメント シニアディレクター、Tanium
ゲスト: Candy Alexander、 CISO兼サイバープラクティスリード、NeuEon Inc.
ショーノート
シャドーITに関する詳細情報や、それを管理するための最善の方法については、Taniumの受賞歴のあるオンラインサイバーニュースマガジンFocal Pointのこれらの記事や、その他の有用なリソースをご覧ください。
- シャドーITは「制御不能」 – リスクを管理する方法 | Focal Point
- 6 あなたの組織の人々がシャドーITを使用している理由 | Tanium
- アセットディスカバリーとインベントリとは何でしょうか？ | Focal Point
- Tanium Assetを使用すれば、リアルタイムデータを活用してシャドーITに対抗できます | Tanium
トランスクリプト
以下のインタビューは、明確さのために編集されています。
"私たちは「ノーと言う部門」という立場を前提とすることはできません。 それは’90sに終わったことですよね？ だから、ビジネスが達成しようとしていることや、その課題をより深く理解する必要があります。"Candy Alexander、CISOおよびサイバープラクティスリード、NeuEon Inc.
Stephanie Aceves: おそらく、ほとんどの労働者と同様に、あなたもルールを破ったことがあるでしょう。会社のポリシーを無視してTrelloやDropboxなどの未承認のアプリを使用したり、業務ネットワークに接続されたフィットネストラッカーを使用したり、個人のメールに仕事を送ったりしたことがあるかもしれません。
こんにちは、私はStephanie Acevesです。Taniumでプロダクトマネジメントのシニアディレクターをしており、本日はLet's Convergeにて、シャドーITと、その最新かつ最も懸念されるバージョンであるシャドーAIについてお話しします。
今後3年以内に、75%の従業員が、IT部門の承認を得ておらず、使用していることも知られていない技術を作成、変更、または何らかの方法で取得するようになるでしょう。 これはGartnerの調査によるものです。 そして、来たるAI革命はさらに状況を悪化させるでしょう。
本日この問題についてお話しいただくのは、大手ビジネスマネジメントコンサルティング会社であるNeuEon Inc.のCISOおよびサイバープラクティスリードを務めるCandy Alexanderさんです。 企業のセキュリティプログラムの開発・管理に加え、CandyさんはInformation Systems Security Association（ISSA）の国際会長に2度選出され、長年にわたり国際理事会のディレクターを務めています。 ポッドキャストへようこそ、Candyさん。
Candy Alexander: ありがとうございます、Stephanieさん。 ここに来られて光栄です。
Aceves: ご参加いただけてとても嬉しいです。 まず基本的なことから始めたいと思います。 シャドーITは企業にとって深刻化する問題であり、さまざまな形態をとっています。 従業員がITサービス、ソリューション、またはデバイスを使用する際に、IT部門がそれを承認していない、あるいは把握していない場合、それがシャドーITです。
私がキャリアを始めた頃、まだサイバーセキュリティの分野に本格的に入る前のことですが、航空宇宙会社でインターンをしていて、リスクをよく理解しないままインターネットにアクセスし、Notepad++などのツールを自分で勝手にダウンロードしていました。 聞いていただいている方のほとんどは、この問題についてある程度ご存知だと思います。 しかしキャンディさん、シャドーITのより巧妙な形態や、従業員が問題だと気づいていないかもしれない製品や慣行にはどのようなものがありますか？
Alexander: より巧妙なもの、実際にはよりリスクの高いものと言えるのは、機密データに関わるものです。 どういうことかというと、DropboxやGoogle Driveのような一般的なシャドーITの使用例は皆さんご存知だと思いますが——[彼女は笑う] 会社のドメインを使ってGoogleにサインアップしている人まで見つけたことがあります——それが明らかに懸念事項であることは言うまでもありません。
しかし、シャドーITのより巧妙で危険な使用例は、やはり機密情報や秘密情報に関わるものだと思います。 では、それはどういう意味でしょうか？ 率直に言って、ユーザーコミュニティやビジネスの人々は、ただ自分の仕事を完遂したいだけです。 そして、そのための最善の方法はツールを活用することです。 多くのユーザーが、企業や大企業のアメリカ、そして世界的に見ても、ソフトウェアの使用申請が長くて本当に困難なプロセスであると感じていることは理解しています。
そのため、彼らは外に出て、空欄に当てはまる何かの無料版を試そうとします。 私が最もよく見かけるものの中には、信じられないかもしれませんが、プロジェクト管理アプリケーション、例えばMondayやAsanaのようなものがあります。 実際、個人用のMicrosoftのPlanboardなどのプライベートバージョンを使用している人に遭遇したこともあります。これはCISOにとって最も懸念されることです。なぜなら、会社のデータが自分たちの管理外に出てしまうからです。
私にとって、それらはより巧妙なものであり、正当な理由によるものであり、使用の意図は常に良いものです。 重要なのは、従業員がシャドーITを使用したり、企業承認済みソフトウェアの範囲外に出たりする場合、それは良い意図を持って行っているということです。 そして、セキュリティ担当者として、彼らが本当に正しいことをしようとしていることを理解する必要があると思います。 繰り返しになりますが、それらが私が最も懸念するもの、つまりそれらのアプリケーションの【十分に理解されていない】使用方法です。
Aceves: ええ、それは素晴らしいと思います。 そして、データ損失に関連するリスク、つまり機密情報が企業デバイスや企業管理資産から流出することについて少し触れましたね。 逆方向のリスクもあるのでしょうか？例えば、従業員として何らかのアプリケーションをインストールした場合、攻撃者が内部に侵入してくる可能性があるということです。 そのリスクは双方向なのでしょうか、それともCISOは通常、アウトバウンド通信やアウトバウンドトラフィックをより懸念しているのでしょうか？
Alexander: そうですね、両方の側面があると思います。 多くのセキュリティ専門家は、アウトバウンド、つまりSaaS（サービスとしてのソフトウェア）の使用やそれに類するものに注目しています。 しかし、その双方向の問題も理解する必要があると思います。 従業員がエンドポイントにローカル管理者権限を持っている場合、彼らは必ず何かをインストールします。断言できます。 なぜなら、支給されたデバイスが自分のものではないという概念を失ってしまうからです。 「これは私のエンドポイントだ」と。 しかし、それはあなたのエンドポイントではありません。 使用する権利はありますが、ものをインストールする権利はありません。
それは、あなたが提起した質問につながります：従業員がエンドポイントにアプリケーションをインストールする場合はどうなるのか？ それは良いアプリであるという検証がないため、非常に危険です。 例えば、少なくともAppleにはApp Storeがあり、Googleもある程度自社のアプリストアで審査していますが、少なくともAppleはかなり厳格に審査しています。
しかし、Appleによって事前に審査されたアプリケーションをApple Storeからダウンロードしたとしても、それが会社のビジネスにとってリスクがないということにはなりません。 そのため、セキュリティグループとして、何がインストールされているか、またはある程度正当なアプリケーションであっても、それがどのように使用されているかについて、全く把握できていない場合があります。
データはどこにあるのか？ なぜなら、最終的な黄金の卵がどこにあるかがすべてだからです。 それはエンドポイント上のあなたの環境内に保存されているのか、それともどこかクラウド上にあるのか？ エンドポイントにある場合、多くの企業がそのエンドポイントをバックアップしていないことは断言できます。なぜなら、皆がクラウドコンピューティングに移行しているからです。 では、どうなるでしょうか？ 今度は緊急対応の問題が発生します。
そして、ユーザーが「〇〇をダウンロードして、ハードドライブにたくさんのデータを保存していたのに、デバイスが突然壊れて、データが消えてしまった」と言うような、苦い経験談は誰にでもあると思います。 そして、その作業が失われたことで、涙と悲しみがやってきます。 そして、それがビジネスに重大な影響を与えるものでないことを願うばかりです。 つまり、データがどこにあるにせよ、管理されていない限り――管理されていないデータのルールを覚えておいてください――非常に危険であり、その観点から多くの危険が存在します。
アセベス： リスクがどこに潜んでいるか、そしてその可視性が欠如していることについて話し始めてくださったのは素晴らしいと思います。 どのようにアドバイスされているか、お聞かせいただけますか？ このポッドキャストを聴いている経営幹部の方も多いと思いますので、現在のリスクエクスポージャーを把握し、どこから始めればよいかについて、どのようにアドバイスされますか？ 何らかの形で状況を把握できているかもしれませんが、もし私が新任のCISOで、合併や買収が頻繁に行われる会社を引き継いだばかりで、何が起きているのか全くわからない場合、どこから始めればいいのでしょうか？
Alexander: クライアントとのプロジェクトであれ、新しい仕事であれ、どこで作業を始める場合でも、リスクと環境のスコープを把握するために、まずいくつかの質問から始めます。 最初の質問は：トポロジーマップをもらえますか？ 使用されているデバイスは何ですか？ そして、信じられないかもしれませんが、組織図も求めます。誰に責任があるかを把握するために。 [彼女は笑う] 責任を問うというのは言い方が悪かったですね。 [彼女とStephanieが笑う。] でも、誰に話しかければいいのか？ ガバナンス構造は組織構造を反映している必要があるからです。 だから組織図を求めるのです。 しかし、パラメータが何であるかを知らなければ――それが少し昔ながらのオンプレミスコンピューティングの話になるわけですが――あるいはSaaS環境が何であるかを理解していなければ、そうですよね？ 今や誰もがクラウドネイティブに移行していますが、環境を理解するところから始める必要があります。なぜなら、その全体像を把握していなければ、保護することができないからです。
そのため、まず最初のステップとして、スコープの観点から全体像がどのようなものかを大まかに把握することが重要です。 オンプレミスのサーバーについて話しているのでしょうか？ エンドポイントの観点から、WindowsやMac、あるいはiOSについて話しているのでしょうか？ SaaS環境においてWindowsだけなのでしょうか？ それらの認可されたインスタンスはどこにあるのでしょうか？ Microsoftを使用していますか？ Paylocityを使用していますか？ そのビジネスの領域はどのようなものですか？ つまり、そこから始める必要があり、そうすることでリスクプロファイルが何であるかを理解し、構築し始めることができます。
Aceves: ええ、まったくその通りです。 経営幹部がどのようにそれを把握し始めることができるかについて話している中で、実際の現場や、あなたが関わっている組織で見え始めていることについて、少し共有していただけますか？
Alexander: 多くの場合、組織が公式に、またはITグループが、例えばAppleデバイスをサポートするスキルセットを持っていないことがあります。 しかし、組織はまた、例えばマーケティンググループや営業グループがiPadを必要としていることを認識しています。 つまり、それはまだ、それが企業デバイスであるという認識、うなずきです。 それが、私が「所有されサポートされている」と言う意味です。 そこには違いがありますが、どちらも認可されており、すべてその範囲内にあります。 それ以外のものが、私たちがシャドーITと呼ぶものです。
では、そのシャドーITで何が使われているかをどのように発見し始めるのでしょうか？ いくつかのアプローチがあります：昔ながらの、いわゆる「人、プロセス、テクノロジー」というアプローチです。 つまり、それらの異なるセクターを理解することです。 エンドポイントには何がありますか？ サーバーには何がありますか？ それらを特定するための資産インベントリを持つことが重要です。 そして、それにはもちろん最も困難なクラウドも含まれます。
Aceves: ええ、それは素晴らしいと思います。 最初におっしゃっていたことが頭に残っています――従業員は正しいことをしたいと思っているということです。 そうですよね？
Alexander: ええ。
Aceves: そして多くの場合、彼らはただ仕事をこなそうとしており、より効率的になろうとしています。 そして、それはある点に集約されます：ローカル管理者権限を持っている場合、彼らがそれをどのように使用するかをどうやって知ることができるのか。 そして目標は、会社を追加のリスクにさらすことを禁止することであり、仕事をすることを禁止することではありません。 そして、これはITで扱う古くからの緊張関係です。つまり、人事ポリシーであれ実際のテクノロジーであれ、システムを強化してリスクを制限しながらも、ビジネスがビジネスとして運営され、運営に必要なことを行うことを妨げないポリシーを確実に整備するにはどうすればよいか、ということです。
エンドユーザーがリスクを理解できるよう本当に支援する方法や、日常業務を妨げないシャドーITに関するポリシーを施行する方法について、少し共有していただけますか？ ユーザーが望むスピードで進み続けられるようにしながら、同時にサポートするにはどうすればよいでしょうか？
Alexander: これは二つのことに立ち返ります。一つ目は、すべての黄金律には例外があるということです。 私たちが持つセキュリティ管理や要件、そしてポリシーは、実際には理由があって存在していることを忘れてはならないと思います。 しかし、絶対的なものは何もありません。 そして、「ノーと言う部門」という立場を取ることはできません。 それは’90sに終わったことですよね？
Aceves: そうですね。
Alexander: ですから、ビジネスが何を達成しようとしているのか、そしてその課題が何であるかをより深く理解する必要があります。 ユーザーがプロジェクト管理アプリケーションのようなシャドーITをインストールまたは使用しようとしている場合、たとえばMonday、Asana、Rikerなどを使おうとしているなら、私がまず口にする質問は「なぜですか？」です。 そのアプリケーションの何がそんなに良いのですか？
繰り返しになりますが、セキュリティの専門家として、私たちはビジネスをサポートするために存在しているということを、改めて理解する必要があると思います。 私たちは門番や（またしても）「ノー」と言う部門になるために存在しているのではありません。 私たちはビジネスをサポートするために存在しています。 ビジネスと話をしなければ、どうやってビジネスをサポートできるのでしょうか？
私が担当しているクライアントについて断言できます…少しお話しさせてください：あるアカウントを担当していたとき、私たちはCFOに報告していました。 まず最初に、物事をビジネス用語で説明することに慣れていきました。 それは良い訓練になりました。 そして彼がやって来て、こう言いました。「聞いてください、R&Dの誰々と話をしに行く必要があることはわかっています。何か問題があれば知らせてください。」 私は「まあ、少し変わった言い方ですね。でも、もちろん知らせます。」と思いました。 そこで私はR&DのVPと話をしに行きました。 私はこのようにアプローチしました。「では、あなたのビジネスを理解させてください。 どのような課題に直面していますか？」
そのように会話を始めることで、私が彼のビジネスを止めるためではなく、支援するためにそこにいることがすぐに明らかになりました。 あなたのビジネスが何であるか、どのような課題があるかを理解し、安全かつセキュアな解決策を見つけるお手伝いをさせてください。 なぜなら、人々は正しいことをしたいと思っているからです。 ただ、そのためのスキルを持っていないし、持つ必要もないですよね？ だからこそ、私たちがいるのです。 ですから、他のセキュリティの専門家が「経営幹部にセキュリティを教えようとしている」と言うとき、なぜそんなことをするのかと思います。 CFOがあなたのところに来て、何かを学ぶ必要があると言いますか？ 絶対にありません。 では、なぜ私たちは彼らにそのようなことをしているのでしょうか？ 私たちは彼らを失敗する立場に置いています。
だから私は行って言います、聞いてください、私はこれらのスキルをテーブルに持ち込みます。 安全で確実な方法でそのビジネスを実現する方法を一緒に考えさせてください。 ビジネスとのすべての会話はその観点から行われており、それがすぐにパートナーシップと協力的な前進の姿勢を確立します。
そのアプローチを通じて、信頼関係が生まれるという段階に達します。 私は今まさに陳腐な表現通りです：セキュリティに関して彼らの信頼できるアドバイザーです。 そして、それが私たちのあるべき姿です。 彼らのユースケースを理解するために一緒に取り組むことで、リスクを理解してもらえれば、プロセスははるかにスムーズになります。 このプロジェクト管理ソフトウェアを使用する必要があると理解したら、どうなるでしょうか？ 私たちは使用に関するパラメータを設定し、それを承認するつもりです。
Aceves: そうですね、面白いことに、私は多くの人を刺激するような二極化した見方を持っているのですが、私個人的には規律というものを信じていません。説明しましょう。 規律はいずれどこかの時点で失敗すると思っています。 だから、正しい選択を最も簡単なものにするまでは――これは同僚の一人が教えてくれたことで、それ以来、人生の哲学のようなものになっています。 正しい選択を最も簡単なもの、つまり最小抵抗の道にするまでは。 丘を流れ落ちる水を思い浮かべてください。 それが、長続きする変化をもたらす方法です。 人々に毎日坂を登るように求めると、いつか疲れてやらなくなります。 いつか、他のことが重なり、管理しようとすることが多くなりすぎて、システムは崩壊するでしょう。
そして、人間の心理について何か知っているとすれば、一度それが起きて何も悪いことが起きなければ、よし、これからも続けようとなるということです。 そして、間違った方向で下り坂が始まります。
ですから、私たちはほぼサービス業に近いとおっしゃったとき、まさにその通りだと思います。 私たちは信頼できるアドバイザーであり、セキュリティはビジネスのために機能する必要があります。 それは：このボックスにチェックを入れるために40これらのことをしなさい、ということではありません。 それは：あなたはビジネスの自分の側をどのように運営する必要がありますか？ということです。 あなたが安全にそれができるように、バンパーレールをうまく配置する方法を考えさせてください。 私はサイバー空間で多くの教育と啓発活動を行ってきました。家族や飛行機で出会う見知らぬ人たちにも話しますが、彼らはITの世界では当たり前だと思っていることに魅了されています。 [彼女は笑います。]
私たちは毎日この世界にいるので、それが見えています。 私はいつも、自分の情報がハッキングされないようにするにはどうすればいいか、という質問を受けます。 まあ、基本から始めましょう、そうですよね？ 本当にパスワード管理などから始めましょう。 でも、どうすればそこに到達できるか——私は両親にパスワードマネージャーを使わせています。 それでも彼らは、まあ愛すべき人たちですが、3つくらいのパスワードを使い回しています。 だから、テクノロジーの分野で何かをしなければならない——ユーザーが価値を感じられるように引き付けて魅了し、それが最も抵抗の少ない道になるようにする必要があります。 規律はいつかは必ず失敗すると思いますし、長期的に失敗するリスクがあります。
Alexander: 動物を訓練しようとしたことはありますか？
Aceves: ええ、ありますよ。
Alexander: 馬や犬などを？
Aceves: 馬はないですね。 犬ですね。
アレクサンダー： つまり、ポジティブな励ましが最も効果的で、規律は失敗だということですね。なぜなら、相手が反発するからです。 そして、ビジネスではそれは許されません。 ビジネスが自分に反発するようなことがあってはなりません。 そして、その信頼関係を築くことで、彼らは自発的にあなたのところへ来るようになります。 実際にそういうことがありました。「キャンディ、これをやってみたいんだけど。 どう思う？」 そうなったとき、あなたは成功したと分かります。
Aceves: ええ、まったくその通りです。 キャンディ、本当にありがとうございました。 これは、今までで最も好きな会話の一つでした。
私はNeuEon Inc.のCISOおよびサイバープラクティスリードであるCandy Alexanderと話をしてきました。
シャドーITやシャドーAIについてもっと詳しく知りたい方は、TaniumのオンラインサイバーニュースマガジンであるFocal Pointをご覧ください。 ショーノートには関連記事へのリンクが掲載されており、tanium.com/pにアクセスしてご確認いただけます。
今日のトップビジネスリーダーやセキュリティ専門家とのさらなる対話を聞くには、お気に入りのポッドキャストアプリでLet's Convergeを購読してください。このエピソードが気に入ったら、ぜひ五つ星評価をお願いします。
皆さん、ご視聴ありがとうございました。 次のエピソードでさらなるサイバーインサイトをお届けできることを楽しみにしています Let's Converge。
