シャドーITとは？BYODとの違いや、セキュリティリスクへの対策を解説

シャドーIT（shadow IT）とは、企業や組織が把握していない状態で、従業員や各部署が利用するデバイスやクラウドサービスのことを指します。シャドーITには、情報の漏洩やウイルス感染などの危険が潜んでおり、企業によるシャドーIT対策が急務となっています。

シャドーITで気をつけなければならないことは、従業員が悪意なく実施したことがシャドーITになりうるということです。

例えば、仕事の最中に企業から許可されていない個人のスマホで取引先と情報交換を行っていた場合、この行為はシャドーITとなりえます。個人のスマホに重要な情報が保管されることは、企業にとって非常にリスクが高いためです。

また、企業が有料のメールサービスを利用しているにも関わらず、慣れているからという理由で無料のメールサービスを利用した場合も、シャドーITにあたります。メールによって情報が漏れることもあるため、セキュリティが脆弱な無料のメールサービスの利用は危険です。

このように、従業員が作業効率向上のためと思って実施したことがシャドーITとなる可能性があり、多くの企業が対策に苦戦しています。

実際にシャドーITが原因で大きな損害を被った会社もあります。また、世界では個人情報管理の重要性が高まっていることからも、セキュリティリスクへの対策を企業としてしっかりと行うことが重要です。

シャドーITと似た意味を持つ言葉として「BYOD」を聞いたことがある人も多いでしょう。BYODは「Bring Your Own Device」の略語で「自分のデバイスを持ち込む」という意味になります。

仕事をする上で会社所有のパソコンやデバイスではなく、普段から使い慣れている個人のデバイスを利用することで作業効率を高めることができます。また、企業の予算削減に効果的であることから、欧米諸国を中心に人気が高まりました。

BYODは一般的に企業が主導で行う取り組みのため、企業や組織が個人のデバイス利用を許可しています。そのため、BYOD自体はシャドーITに当てはまらないのが一般的です。しかし、使用しているデバイスを企業が把握している以上の用途で利用されてしまった場合、シャドーITに当てはまることになります。

BYODは、個人デバイスの管理が難しく、利用者のプライバシーが侵害される可能性があることや、休日にも心を休められないなどの理由から、まだ日本ではそこまで浸透してはいませんが、今後テレワークが増えるにつれてその機会が多くなることも想定されます。BYODを行う際には、シャドーITにも十分気をつけることが重要です。

シャドーITは、企業や組織が把握していないIT（デバイスやクラウドサービスなど）の利用を指します。違法なソフトウェアをダウンロードして利用した場合はもちろんシャドーITに当てはまりますが、従業員が企業のためを思って実施したことでもシャドーITになりえます。

シャドーITの具体例をいくつか紹介しますので、同じようなミスをしていないか確認してみてください。

① 会社のファイルを自宅やマンガ喫茶にあるパソコンで利用する

会社で作成途中のファイルをUSBなどで持ち帰り、自宅やマンガ喫茶などの許可されていないパソコンで開くことはシャドーITに当てはまります。

企業のパソコンは情報が漏れないように強力なセキュリティ対策がされていることがほとんどです。しかし個人のパソコンや共同で使うパソコンには十分なセキュリティ対策が施されていないことも多いため、セキュリティが脆弱になりがちです。

また、USBを紛失したり、自宅のパソコンがウイルスに感染したりすると、企業の重要な情報が外部に漏れてしまう危険性もあります。たとえ早く終わらせたい仕事があったとしても、会社の外で重要な情報を取り扱わないようにしましょう。

② 利用が許可されていないチャットアプリやメールサービスを利用する

企業の多くは社内のコミュニケーション用に、セキュリティ管理されたチャットアプリやメールサービスを導入しています。しかし、使い勝手が悪いからといって許可されていないアプリやメールを利用し、従業員間のコミュニケーションを図ることもシャドーITになりえます。

従業員間のコミュニケーションにはさまざまなプライベート情報が含まれ、それらの情報が漏洩してしまうことも十分に考えられます。トラブルを引き起こさないためにも、会社が指定したツールを使用するとよいでしょう。

③ 外部のネットワークに接続し、業務用パソコンを利用する

職場で利用しているパソコンを出張のために持ち出し、公共のWi-Fiサービスに接続した場合もシャドーITになります。社外のWi-Fiサービスは、セキュリティ対策が不十分であることも多く、場合によってはパソコン内の情報を盗まれてしまうかもしれません。

パソコンの持ち出しには許可を取る人が多いと思いますが、ネットワーク利用の許可を取ることは忘れやすいため注意が必要です。

④ 企業が許可していないクラウドサービスを利用する

企業が許可していないクラウドストレージサービスにデータを保管することも好ましくないでしょう。クラウドストレージサービスは便利な反面、アカウント情報が漏れてしまえば、情報をすべて取られてしまう可能性があります。

同じように、各種クラウドサービスは仕事の効率化を促す数々のサービスが含まれている反面、セキュリティが脆弱なものもあります。クラウドサービスを利用する際には、かならず会社の許可を取るようにしてください。

⑤ 個人のデバイスで写真を撮り、データを持ち帰る

個人のスマホで写真を撮り、家に持ち帰る行為もシャドーITになる可能性があります。特に個人情報を多く取り扱う会社や企業内で極秘情報を取り扱っている会社は、情報が社外に漏れることに対して非常に敏感です。

許可されていないデバイスで写真を撮影し持ち帰ることは、企業に大きな損害をもたらすこともありえます。スマホが便利になるにつれてついつい使ってしまいがちですが、十分注意する必要があります。

ITが進化するにつれ、ITの効果的な利用が企業の成功を左右します。しかし導入ばかりに目がいき、セキュリティリスクへの対策を怠っていると、大きな損害を被る可能性もあります。最後にシャドーITへの対策について紹介します。

対策① 従業員教育の徹底

シャドーITの対策に効果的なのは、従業員教育の徹底です。シャドーITは企業と従業員の認識の違いによって発生します。そのため、担当者が企業内でのITやセキュリティの考え方について従業員に共有し、IT利用のルールを徹底しておく必要があります。

一度だけの説明では理解しきれなかったり、忘れてしまったりすることもあるため、会議や社内報を利用し、何度も繰り返し説明をしていくことが大切です。

対策② ITに関して相談できる部署を設置

生産性を高めるために新しいアプリを利用したいと考える従業員もいます。シャドーITを避けるために最新のアプリを利用しないのでは、企業の生産性向上につながりません。

そのため、企業内にITに関する相談部署を設置することをおすすめします。気になったITを無断で利用するのではなく、IT部署に相談し許可をもらった上で利用できるようにすれば、シャドーITの危険を回避しつつ生産性向上が期待できます。

また、ITに詳しくない従業員の中には、よく分からないままITを利用してしまい、結果としてシャドーITになってしまうことが多々あります。ITに関して気軽に相談できる部署を設けることで、シャドーITを事前に防ぐことができます。

対策③ 定期的なヒアリングと情報共有

従業員に対して定期的にヒアリングやアンケートを実施することで、シャドーITにつながるうっかりミスを防ぐことができます。また、企業に導入してほしいITについてもヒアリングすることで、従業員がシャドーITをしてしまうよりも先に、企業全体にサービスを導入できます。

シャドーITの怖いところは、企業のためと思って実施したIT利用が原因で、企業が大きな損害を被る可能性があるという点です。生産性を高めるために最新のITを導入したいという従業員の気持ちも尊重したいところですが、適切な対策ができていない場合には企業を危険に晒すことになります。

また、シャドーITになるかどうかは勤務している会社によっても変わってきます。ほかの会社では大丈夫だからとITツールを利用し、問題を引き起こしてしまう可能性もあります。

そのため、従業員教育を徹底するとともに、効果的なITをスムーズに導入するための部署づくりを早期に進める必要があります。シャドーITで失敗をしないよう、すぐにでも対策を進めるようにしてください。

「テレワークやリモートワークが導入されたけれど、快適な仕事環境の確保が難しい・・・」そんな方におすすめなのが、新しいオフィスのスタンダードとして注目されている、フレキシブルオフィスです。

WeWork（ウィーワーク）は、国内7都市37拠点*でフレキシブルオフィスを運営しています。

開放的でスタイリッシュな共用エリアに加え、大小さまざまなタイプの会議室、電話ブースなど、テレワークに必要な環境が揃っています。さらに高速インターネットやドリンクサービスなども、すべて完備。

WeWork では、月単位契約可能、1名〜数百名まで契約可能、お問い合わせから最短数日で入居可能といった、柔軟で迅速なオフィスソリューションをご提案しています。

WeWork で、快適なテレワーク環境を実現しませんか？　まずはお気軽にお問い合わせください！

* 2021年4月時点
[contact-3cta]

・本記事の内容は、公開日時点の情報をもとに作成しています。