シャドーIT

1. 定義

シャドーITとは、従業員が会社の許可を得ずに、業務のために私物の端末や個人のクラウドサービスを勝手に利用することです。会社が把握していない「影（シャドー）」の状態であるため、組織による適切なセキュリティ管理が及ばないことが最大の問題です。個人の利便性を優先した結果、情報漏えいやウイルス感染のリスクが組織全体に及ぶ可能性があります。

2. 仕組みと種類

具体例としては、業務ファイルを個人の無料ストレージサービスに保存する、私物のスマートフォンから社内システムにアクセスする、無許可の業務効率化ツールをインストールするなどが挙げられます。従業員にとっては便利で仕事が捗るという意識で行われることが多く、悪意がない場合でも、組織のセキュリティポリシーを潜り抜けてしまう点が厄介です。

3. 試験ごとの視点

ITパスポート試験では、組織が管理・把握していない端末やソフトが業務に使われる状態を指し、従業員が悪意なく利便性を求めて行うことが多く、情報漏えいやセキュリティ対策の不備を招くリスクが問われます。基本情報技術者試験では、対策として、セキュリティ教育や、安全な正規のITツールの整備・提供が求められます。

4. 紛らわしい語との違い

BYODは私物の端末を業務に利用することですが、組織が許可し管理下にある点がシャドーITと違います。情報漏えいはシャドーITによって発生しうる結果です。セキュリティポリシーは組織のルールですが、シャドーITはこれに違反する行為となります。

5. 身近な例

会社支給のメールシステムが使いにくいために、業務上の顧客データを個人の無料Webメールで送信してしまう行為や、社内のセキュリティ制限を回避するために、USBメモリをこっそり持ち込んでデータをコピーする行為などがこれに当たります。