テレワークが働き方のひとつとして常態化している企業が増えている。

そんな状況の中、便利だからとか、使い慣れているからという理由で私有のPCやスマホ等を会社に無断で業務利用するシャドーITも問題となっている。

会社が管理していないデバイスはセキュリティ上問題がある場合も多く、これに対処することが企業にとって喫緊の課題なのである。社員が私有のPCを業務利用していることが発覚し、対処に頭を悩ます情シスがここにもひとりーーー

会社に無断で私有のPCやスマホ、あるいはクラウドサービスなどを業務利用することをシャドーITという。

私有のデバイスは会社が管理するデバイスよりセキュリティのレベルが低い場合が多く、そのような個人利用のデバイスを業務で使うことは情報漏えいなどセキュリティ上の事故を招きかねないため、企業としても何かしらの対策を講じる必要があるだろう。

スマホなどが普及し、PCに近づく性能を持つスマートデバイスが増える中、手軽であるがゆえに、つい手元にある私有のスマホを使って仕事上のやり取りをしてしまう。

また、自宅など社外で仕事をする社員が増え、利用端末も増加するなど、多様な環境に会社の管理が追いついていけない、そういった状況がシャドーIT発生の背景となっている。

さらには便利なクラウドサービスも増え、会社のPCで個人アカウントを使って個人利用のクラウドサービスにログインすることができてしまうといったことも、シャドーITが起こる一因である。

スマホなど私物のスマートデバイス、また使い慣れていて便利なチャットツールやクラウドストレージ、フリーメールなどがシャドーITになりやすい。

個人で日常的に使っていて利便性が高く業務効率が上がるため、それらを利用して仕事上のやり取りをしたり、会社の機密データを保存してしまう、といったことをしがちであるが、会社が管理していないデバイスやクラウドサービスを使うことはセキュリティ上のリスクが非常に高く、とても危険な行為なのである。

シャドーITとよく似たものにBYOD（Bring Your Own Device）がある。

こちらも私有のデバイスを業務利用する点では同じであるが、これらデバイスは会社の許可を得て使用するものであり、シャドーITとは違って利用に際してしっかりと管理されているため、社有デバイスと同程度の安全性があるといえる。

セキュリティ対策が脆弱な個人アカウントを使って無料のファイル共有サービスにログインし、会社の機密情報などを保存したり、業務上の重要なやり取りを個人利用のフリーメールなどで行うことは、不正アクセスや情報漏えいのリスクにつながる。

また個人利用のデバイスは適切なウイルス対策をしていない場合もあるだろう。デバイス購入当時にウイルス対策ソフトを入れていても、更新して最新の状態を保てていないなど問題も多いため、コンピューターウイルスなどマルウェアの感染リスクが高いといえるだろう。

そうだな、そのために企業もなんらかの対策をする必要がある。それでは次に、シャドーITの対策方法を見てみよう。

対策として最初に実施したいのは、社員に対してアンケートをとるなどしてシャドーITがどれだけ利用されているかを調査することだ。なぜそういった利用をするかを聞き取り、シャドーITに代わってその要求に応えることのできる方法を検討することでシャドーIT自体は抑止に向かうだろう。

次にシャドーITを禁止する明確なルールも確立すること。そもそも、それが良くない事だと認識できていない社員も少なからずいるはずだ。シャドーITは効率よく仕事をする社員の「前向きな姿勢」が原因であるからだ。決められたルールを遵守させたり、社員一人ひとりのセキュリティ意識を高めたりするために、eラーニングなどを活用して社員教育を行うといったことも重要となる。

状況が許せばBYODを活用するといったことも考えられるだろう。シャドーITを社内にはびこらせているよりは、はるかに安全性が高まる。社員が私有のスマホを使うのは、会社がスマホを支給していないから、といったこともひとつの要因として考えられる。そういった場合は社有携帯をスマホに切替えて貸与するといったことも検討したい。またモバイル端末の管理には、MDM（Mobile Device Management）を導入するといった方法もある。

シャドーITにもいくつかある。まずは会社から許可されていないデバイスを使うケースだが、社内ネットワークに接続している端末を監視し、許可されていないものが不正に接続されていないか検知するようなツールを導入することで、私有デバイスの業務利用を防ぐことが出来る。また業務用アプリ側でアクセス元制御を行うのも有効だ。

会社から支給されているデバイスで許可されていないアプリを使うケースもあるだろう。

従業員がこれらを勝手に利用してしまうことを教育だけで防ぐのはなかなか難しい部分があるため、システマチックにアプリ制御ができるツールを導入することで、シャドーITに対策しよう。

モバイルデバイスへはMAM系サービスがあれば端末内の業務に使用しているアプリケーションとデータのみを切り離して管理する事が出来るので、BYOD運用にも有効だろう。

何年か前のシャド―ITの代表例として、個人用フリーメールアドレスに業務で使う資料を転送して自宅で残務を行うというものがあった。昔は会社アドレス宛のメールは会社PCでPOPで受け取るのが通常だったからだ。

しかし、現在は殆どの企業がメールはIMAPで受信し、様々なデバイスから業務で使うメールソフトを利用していい運用になっていて、そのおかげで前述のようなシャドーIT例はほぼ消滅した。この時期、会社のメールソフトを Gmail に切り替えた企業が多くいたのを鮮明に覚えている。

現在では Google Workspace™ をグループウェアとして導入している企業が随分と増えた。

^{※POP受信とは...サーバーにあるメールをPC等の端末にダウンロードして、端末上でメールを管理する仕組み}

^{※IMAPとは...サーバーにあるメールをPC等の端末にはダウンロードせず、サーバー上でメールを管理する仕組み（マルチデバイス運用に向いている）}

このように、社員が使い慣れたツールをあえて公的導入してしまう事でシャドーITを抑止するのも一つのやり方だ。

近年では、個人で利用しているLINEなどで顧客と連絡をとったり、社内でのやり取りを行ったりしてしまうケースが増えているらしい。

例えば、企業向けのクラウド型ビジネスチャットツールと称される「LINE WORKS」であれば、普段から無料版のLINEをで手慣れた操作感のまま、カレンダー、掲示板、ドライブ機能、タスク管理、アドレス帳などの業務効率化に必要な機能を使用できるし、コンプライアンス管理や暗号化などのセキュリティ対策も十分にとられている。