シャドーITの脅威にどう対処するか：従業員からのフィードバックが必要

セキュリティ企業ESETは、「新型コロナウイルス感染症の大流行（パンデミック）を経てテレワークやハイブリッドワークが一般化する中、シャドーITがますます深刻な問題となっている」との認識から、その脅威に対処する方法を概説した。

[＠IT]

　セキュリティ企業ESETは、2021年10月22日（英国時間）、シャドーITの脅威に対処する方法を紹介した。

　「新型コロナウイルス感染症（COVID-19）の世界的な感染拡大を経て、テレワークやハイブリッドワークが一般化する中、シャドーITがますます深刻な問題となっている」との認識に基づく。

　シャドーITとは、企業従業員がIT部門の承認や管理を受けずに使用するアプリケーションやソリューション、ハードウェアを指す用語だ。放置すると、企業にとって重大な脅威となりかねない。これにどのように対処するかが課題となっているという。

どのようなシャドーITが存在するのか

　シャドーITは数十年前から存在しており、エンタープライズグレードの技術である場合もあるが、大抵は消費者向け技術だ。ESETは主なシャドーITとして以下のような分類を挙げている。

・消費者グレードのファイルストレージ

・生産性ツールやプロジェクト管理ツール

・メッセージングツールや電子メール

・クラウドを用いたIaaS（Infrastructure as a Service）やPaaS（Platform as a Service）。これらは認められていないリソースをホストするために使われる場合がある

パンデミックを経て拡大してきたシャドーIT問題

　これまでは「企業ITツールは不十分で、生産性を阻害している」という不満を従業員が抱えている場合に、シャドーITが使われてきた。だが、パンデミックの到来で多くの企業は、従業員が個人デバイスを使って在宅で勤務することを許容せざるを得なくなった。これをきっかけに、未承認のアプリケーションのダウンロードや利用が活発になったと、ESETは指摘する。

　さらにそうした中で、多くの従業員が企業セキュリティポリシーを無視したり、ITリーダーがパンデミック下で事業継続を優先して、こうしたポリシーの一時棚上げを余儀なくされたりしたことで、事態が複雑化したという。

　ESETによると、パンデミックに伴う勤務形態変更により、従業員にとってIT部門が目に入りにくくなったことも、シャドーITの利用や企業ポリシーの軽視を促進した可能性があるとしている。

問題の規模はどの程度なのか

　シャドーITの最近の顕著なリスクは、パンデミックに関連するBYOD（私物デバイスの業務利用）に起因するものだけではないとESETは指摘する。