「禁止したらシャドーITがなくなる」は幻想？ まん延するシンプルな理由：セキュリティ担当者の耳が痛いはなし

「オンラインストレージの業務利用は禁止です」と通達すれば、シャドーITはなくなるのでしょうか。事態はそう単純ではありません。実は、禁止したことで減るのは利用ではなく「相談」かもしれません。

[伊藤秀明，＠IT]

　「オンラインストレージの業務利用は禁止です」。そう通達した後、相談が来なくなりました。IT担当者にとっては一見、問題が解決したように見えます。

　しかし、本当にそうでしょうか。

　「禁止したはずのサービスが実はずっと使われていた」という話は珍しくありません。別件でログを調べていて気が付く、退職者の引き継ぎで明らかになるなど、発覚するのは大抵ずいぶん後のことです。禁止しても現場の仕事のやり方までは変わらないので、会社から見えないところで使われ続けているのです。

　IT担当者の“あえて口にしてこなかった耳が痛い話”を掘り下げる本連載。第2回では、禁止の通達がなぜシャドーITを生むのかを解き、明日から打てる手を整理します。

筆者紹介：伊藤秀明（AIセキュリティ株式会社　コンサルティング＆ソリューション事業統括本部 シニアマネージャー）

セキュリティ組織の構築、プロジェクト推進、SOC業務など、戦略的視点から技術的な実行まで幅広く手掛けるITシステムコンサルタント。通信、インターネットサービス、医療、メディアなど多様な業界での経験を生かし、業界特有の課題にも対応。クライアントのニーズに応じた柔軟なソリューションを提供し、セキュリティと業務効率の両立を実現するためのプロアクティブなアプローチを重視している。また、講演や執筆活動にも積極的に取り組み、専門知識や実務経験を生かして幅広い層にセキュリティやITシステムに関する知見を共有している。

「使うな」だけでは仕事は止まらない　シャドーITを生む“相談できない空気”

　従業員が個人契約のオンラインストレージに顧客の見積書を保存しているのを見つけたら、その行為を止めるのはIT担当者であれば当然の判断です。

　ただし「代わりに何を使えばいいか」と聞かれ、「○○を申請してください」と答えたところまでは覚えていても、実際に申請が上がったかどうかは記憶が曖昧（あいまい）なことが多いでしょう。しばらくして質問も来なくなり、その案件は片づいたものとして忘れてしまいます。

　心の片隅で「もしかしたら、まだ何か使ってるかも」と思いながらも、確かめる時間もなければ、見つけたときの対応も決めていない場合、どうしても確認は後回しになりがちです。そのようなことを繰り返すうちに、「使いたいサービスがある」という相談がいつのまにか来なくなっていないでしょうか。

　相談するかどうかにかかわらず、現場は仕事を期限内に終わらせる必要があります。そのため現場で必要なサービスは会社に見えないところで使われ続けます。会社が把握しないまま使われるサービス、いわゆる“シャドーIT”はこうして生まれるのです。

なぜコッソリ使うのか　まん延するシンプルな理由

　こうした状態に陥る最大の理由は、代わりの手段を示していないからです。例えば、サイズが大きいファイルを取引先へ送る仕事も、出先で資料を開く仕事も、通達の翌日からも変わらず続きます。現場が代わりのサービスを自分で探すのは、ルールを軽く見ているからではなく、その日の仕事を終わらせるためです。

　手続きの遅さも問題です。サービスの申請から利用開始まで2週間かかると言われても、あさってが締切の人には間に合いません。審査に時間がかかるのは、情シスが安全性や契約条件まで丁寧に調べるからですが、現場が見ているのは今日中に使えるかどうかだけです。

　厄介なのは、一度の禁止が「もう一度聞いてみよう」という気持ちを削ぐことです。一度“ダメ”と言われると同じ質問を繰り返さないだけでなく、代わりに何を使えばいいかを相談することさえ無駄だと感じてしまいます。皮肉なことに、禁止の通達によって減るのはシャドーITではなく相談の件数です。

　この傾向は数字にも表れています。サイバーセキュリティクラウドが、生成AIを業務で使う会社員360人に調査を実施したところ、勤務先で禁止された場合、「個人的に利用を続ける」と答えた人が19.2％、「会社に利用継続を訴える」と答えた人が18.6％でした。数字は近いのですが両者の意味するところは正反対で、前者は「代わりがなければ見えない場所に移る層」、後者は「代わりと相談先さえあれば正規の経路に戻る層」です。

　この調査は生成AIに限ったものですが、禁止されても仕事は残るという構造は変わりません。禁止サービスの利用状況を監視システムで調査するという手もあるにはあるものの、新しいサービスは次々に生まれ“いたちごっこ”になってしまいます。

「禁止」に“たった2行”足すだけ　シャドーITを増やさない通達の作り方

　まずは既に出した通達をもう一度確認することです。禁止サービスの名前しか書いていないなら、その通達の目的は半分しか果たしていません。足りないのは、代わりに何を使えばいいかを示す「代替先」と、代替にも禁止にも当てはまらないケースを持ち込む「相談先」の2つです。この2つがなければ、従業員は仕事を進めるためにシャドーITという手段を選んでしまいます。

　では、この2つを書き足せば片付くかというと、そこまで単純でもありません。会社が契約している中に、従業員の用途にぴったり合う代替が見当たらないこともあります。代替を示せたとしても、その使い勝手が目当てのサービスより明らかに劣れば、締切に追われた人はシャドーITを利用してしまうでしょう。

　しかしそう悲観的になる必要はありません。やるべきなのは、既にある契約と従来の申請フローを見直すことだけです。具体的には以下が挙がります。

• 既に契約しているサービスの中から、代替可能なサービスを一つ決める
• 禁止を伝えたやりとりに、代替サービスを使ってよいこと、相談してよいことを書き足す
• 相談を受けてから代替サービス導入の可否の返事までに何日かかったかを測る

　周知のコツは、禁止を伝える通達に「代わりにはこれを使ってください」「ここにないものは相談してください」の2行を足すだけです。この2行があるだけで、これまで黙って使っていた人が相談し、会社が把握できる範囲が少しずつ広がります。ただし、相談が増えても実際に代替サービスに移っていなければ意味がありません。この取り組みの効果は相談の件数ではなく、会社公認のサービスに乗り換えた件数で測る必要があります。

　3つ目は、相談を受けてから回答するまでの速さの点検です。回答までに何日もかかるなら、締切を抱えた現場は待っていられません。正式に導入するかどうかの結論は後日でも、「この案件に限り使ってよい」という当座の答えだけなら、その日のうちに返せるはずです。この即断が、黙って使い続けることへの抑止力になります。

　その上で、用途に合った代替サービスを実際に導入すれば、同じ相談が上がることもなくなります。まずは直近数件の相談で回答までにかかった実際の日数を測り、どこで時間がかかっているかを知ることが第一歩になります。

　次に何かを禁止するとき、通達を出す前に「これを使えなくなった人は、明日から何を使うのだろうか」と想像してみることが、もう一度聞いてみようと思ってもらえるIT担当者への、最短の近道になることでしょう。