シャドーITと企業の情報管理

シャドーITとは、会社が許可していないデバイスや各種クラウドサービスなどを仕事で勝手に使うことを指します。「会社が許可していない」ということや、対象がデバイスだけでなくクラウドサービスなども含むという点で、「BYOD」（Bring Your Own Device）とは異なる概念です。
受発注・交通費精算・勤怠管理など、会社の業務は一元管理されているものです。ITも例外ではなく、たいていは情報システム部門が管理しています。この部門が管理していないデバイス／サービスを業務に使うと言うことが問題です。

デジタルアーツが2013年（平成25年）10月に実施した調査では、Dropboxなどのファイル共有サービスを使っている人は全体の30.8％で、そのうち38.3％は仕事で利用しているという結果が出ました。一方、会社が用意したストレージサービスを利用している人は全体の16.8％しかいませんでした。

また、メールよりリアルタイム性の高いLINEを使って社員間のコミュニケーションをとっていることも多いでしょう。
しかし、DropboxにしてもLINEにしても、公開範囲を間違えると、機密情報の漏洩につながりかねません。

シャドーITで利用しているネットワーク環境も、社外になると、公衆無線LANサービスのようにセキュリティ対策が不十分なことがあります。

さらに、試作プログラムを用意するのに、IaaS型のクラウドサービスを利用しているケースもあります。無償提供のサービスでは、登録したプログラムが第三者に提供されるかもしれず、会社の知的財産を失う危険性があります。

セキュリティと利便性はトレードオフの関係にあります。
シャドーITを一律禁止してしまうと、生産性や社員のモチベーションが低下するでしょう。各社の事情に合わせたルールを設けておく必要があります。

ルールを制定する際、どこまでを制限・禁止するか、監視の範囲をどこまで広げるか、また、シャドーITをそこまで許容するか方針を盛り込んでおきましょう。また、シャドーITのメリットとデメリットについて社員教育も欠かさず行いましょう。

• BYODとスマートフォン、タブレット（ぱふぅ家のホームページ）
• デバイスの多様化における就業者のワークスタイルの変化実態調査：2013年10月7日，デジタルアーツ
• 日本企業をひそかに襲う「シャドーIT」の脅威：2014年（平成26年）4月18日，ITmedia
• 働き方改革で増加するシャドーITにどう対応するのか：2019年03月12日，ASCII