情報システム担当者（情シス）の中で、セキュリティリスクの問題でしばしば話題となるシャドーIT。これは「情報システム部門などが使用許可を出していない、あるいは関知せずに従業員や部門が独自に導入・利用するIT機器やクラウドサービスなど」です。シャドーITになりやすいものとしては、クラウドサービスやメッセージアプリ（チャットツール）などがあります。情報漏洩のリスクがあるため、対策を講じる必要があります。

今回、シャドーIT対策を講じている企業がどの程度存在しているかを探るため、情シスとして働いている方に対して「社内でシャドーIT対策をしているか」のアンケートを実施しました。アンケートはインターネットリサーチツールである「Freeasy」により行い、一般企業や行政機関などで情シスとして働いている方を対象として、大企業・中小企業を区別せずに実施しました。アンケート実施日は2024年7月10日で、回答者数は316人でした。 

情シス316名に対して実施したアンケートの結果は、上のグラフの通りでした。「シャドーIT対策をしている」と答えたのは145名（全体の約45.9％）、「していない」と答えたのは135名（全体の約42.7％）、「そもそも存在していない」と答えたのは36名（全体の約11.4％）でした。 

あわせて、「シャドーIT対策をしている」と答えた人に具体的な対策を聞いてみました。上位5位は以下の通りです。 

1位は「社内規定・ガイドライン策定」（22名）でした。社内でシャドーITに関する取り扱いを規定したり、ガイドラインを策定したりすることで、対策を講じているようです。 

このほか、実際に「従業員のPCなどを調査する」といった対策や、「セキュリティ強化・アップデート」「監視」「システムの導入」などの対策を講じているところが多いようです。その他、「社員教育」「管理者権限の設定によりダウンロードできないようにする」といった回答もありました。 

シャドーITの問題は昔から存在していましたが、それが顕在化したのは、新型コロナウイルスの感染拡大時期です。IPA（独立行政法人 情報処理推進機構）が2020年11月に行った調査によれば、従業員101人以上のユーザー企業の14.5％、100人以下のユーザー企業の20.5％が「会社が許可していないソフトウエアやクラウドサービスなど（つまりシャドーIT）の業務利用を一時的に『やむを得ず』認め、現在（2020年10月31日時点）も認めている」と回答しています（IPA「ニューノーマルにおけるテレワークとITサプライチェーンのセキュリティ実態調査 最終報告」より）。2020年10月～11月といえば、新型コロナウイルスの“第3波”の時期であり、各企業ともテレワークが推進されていた頃。やむをえない状況だったとはいえ、シャドーITが「黙認」されていたことがわかります。 

また、同調査では会社支給の機器にアプリケーションをインストールする際のルールの有無について確認しています。それによると、大企業では「事前に申請を行って承認されてからインストールする」と答えた一方、中小規模企業では「明確なルールが定められていない」と回答した割合が多くなっていました。 

このコロナ禍の調査とCatch On Hubが行ったアンケート調査をもとに読み解くと、新型コロナウイルスが流行していた2020年11月には一定数のシャドーITが存在したものの、新型コロナがほぼ収束した2024年現在、会社の規模に関わらず45.9％の企業が、シャドーITに対し何らかの対策を講じるようになってきていることがわかります。現在もテレワークを取り入れている企業も多い（東京都「テレワーク実施率調査結果 2月」）ことを考えると、シャドーIT対策は以前に比べて進んでいるものと推測できます。 

コロナ禍にはシャドーITを一時的に容認した企業も一定数あったとはいえ、新型コロナウイルスが収束に向かった現在、約45.9％の企業がシャドーIT対策を講じています。その背景には、上でも触れたテレワークの存在があるものと思われます。 

テレワークは、物理的に情シスの目が届かない働き方であるため、必然的に情シスが関知しないサービスを利用する従業員が増える可能性があります。その結果、従業員が自分の裁量でクラウドサービスなどに機密情報を保存してしまい、情報漏洩のリスクが高まってしまいます。よくある例としては、クラウド上にアップしたデータの閲覧権限を、誤って関係者以外の意図しない人物でも閲覧できるように設定してしまうミスです。これにより、外部に情報漏洩してしまうのです。 

情報漏洩のリスクを避けるためには、アンケート結果にもある通り、社内規定を定めることが重要です。例えばクラウドサービスであれば、閲覧権限の設定ルールを決め、設定時には必ず確認するよう従業員に周知させることが求められます。同時に従業員研修を実施し、従業員のセキュリティリスクへの意識を高めることが必要です。 

ところで現在、働き方の多様性を認める企業が増えてきています。そのため、従来のように従業員が全員オフィスに出勤して働くのではなく、テレワークなどを駆使した新しい働き方が増えてきています。そのような状況では、シャドーITを根絶するのではなく、ある程度許容する姿勢も重要です。そのためには、セキュリティの強化が求められます。例えば、これまでの「境界型セキュリティ（ネットワークの内と外を「境界」で分けて考え、ネットワークの外にあるリスクから防御するアプローチ）」ではなく、「ゼロトラスト（社内・社外を区別せず、従来よりも厳格なユーザー認証やネットワーク監視などのセキュリティ対策を講じること）」を対策として実施していくことが考えられます。 

とはいえ、ゼロトラストによる対策もメリットばかりではなく、セキュリティ強化にコストが掛かったり、ログイン認証を厳しくしたためにログインに手間が掛かってしまったりするなど、いくつかデメリットも存在します。情シスには難しい対応が迫られますが、会社の従業員が働きやすい環境を構築することが情シスの仕事である、という原点に立ち返って対策を考えていく必要があります。