シャドーITとは？リスクや用いられやすいツール、被害を防止する対策を解説

シャドーITとは、企業が許可していなかったり把握していなかったりするデバイス・ツールを活用することや、そのツールなどのことです。適切な管理を企業ができないため、情報漏洩や不正アクセス、アカウントの乗っ取りなどが発生するリスクがあります。

本記事では、シャドーITの概要やリスクと被害事例、被害を防止する対策について詳しく解説します。シャドーITについて知りたい方、被害を防止したい方は、ぜひ参考にしてください。

シャドーITとは

シャドーITとは、企業が許可していないもしくは、従業員の利用を企業が把握していないツールやその使用状態のことです。最近はテレワークが増加しており、誰がなにをしているか、どのようなツールを用いているか把握しにくくなっています。企業が把握していないツールは、セキュリティ対策が不十分でサイバー攻撃にあっても企業が対処できず、セキュリティリスクが高まるでしょう。

ここからは以下の事項について解説します。

• シャドーITが発生する原因
• BYODとの違い

シャドーITが発生する原因

シャドーITが発生する主な原因は以下の2つです。

• 従業員が許可されているツールに不便さを感じている
• 企業が従業員の勤務状況を把握しにくくなっている

企業が許可しているツールに対して「使いにくい」「他のツールを活用すれば、さらに業務がはかどる」と考える従業員は少なくありません。ただ、コストやセキュリティなどの観点から、企業に新たなツールの導入を提案しても実現するのは容易でないでしょう。
また、前述の通りテレワークなどの普及で、従業員の行動を把握することが困難です。上長や管理部門の目が行き届かないため、従業員が独自の判断でツールを利用しやすい環境になっています。

BYODとの違い

シャドーITとBYODは、企業が許可しているか否かが異なります。BYOD（Bring Your Own Device）とは、従業員が個人所有するパソコン・タブレット・スマートフォンなどのデバイスやサービスを、企業に許可を得て業務で活用することです。BYODの場合、企業が把握・許可しているためセキュリティリスクを抑制できます。

なお、BYODの詳細は以下をご覧ください。
⇒BYODとは？メリット・デメリットや導入時のポイント、導入事例を解説

シャドーITとして用いられやすいもの

続いて、シャドーITとして用いられやすい以下のツールについて解説します。

• デバイス
• チャットツール
• フリーメール
• クラウドストレージ
• オンラインサービスやアプリケーション
• 生成AI

デバイス

企業が従業員にパソコンやスマートフォン、タブレットなどのデバイスを貸与しない場合、シャドーITとして利用されるケースが多くあります。また、デバイスが古くスペックが低い場合も、従業員がストレスを感じてシャドーITが発生します。

チャットツール

チャットツールが、シャドーITとして用いられるケースも存在します。以前は、電子メールを活用してコミュニケーションを取るパターンが一般的でしたが、近年は複数のチャットツールが開発・提供されており、気軽な連絡手段として広く用いられています。
SlackやChatworkなどが主流ですが、多数のツールが存在します。顧客とコミュニケーションを取りやすくするために、相手に合わせてチャットツールを活用する従業員もいるでしょう。

フリーメール

GmailやYahoo!メールなどのフリーメールも、シャドーITとして活用されるツールの一つです。フリーメールは無料かつ容易にアカウントを取得でき、手軽に利用可能です。

クラウドストレージ

クラウドストレージもシャドーITとして利用されがちです。クラウドストレージは、パソコンなどのデータを保存するだけでなく、大容量データの共有にも活用可能です。メールでは容量オーバーになるファイルの送付方法を企業が用意していない場合、従業員はクラウドストレージを個人で利用する可能性があります。

オンラインサービスやアプリケーション

オンラインサービスやアプリケーションも、シャドーITとして利用されるケースが少なくありません。近年は、便利なサービスやアプリが多数開発・提供されています。
ただ、企業で各従業員が望むものを全て導入することは困難です。自分が望むサービスなどが活用できない場合、シャドーITにつながるでしょう。

生成AI

ChatGPTやGeminiなどの生成AIも、シャドーITとして利用されるケースがあります。生成AIをはじめとするAIは、業務効率化に役立つツールとして注目を集めています。ただ、個人情報や機密データを入力するなど不適切な活用を行えば、セキュリティリスクがあるでしょう。

シャドーITにおける4つのリスク

社員が独自に導入するツールやクラウドサービス＝シャドーITは、企業の管理が及ばずセキュリティリスクを高めます。ここからは、シャドーITにおける以下4つの主なリスクについて詳しく解説します。

• 情報漏洩
• 不正アクセス
• アカウントの乗っ取り
• ウイルス感染

情報漏洩

シャドーITにより、情報漏洩発生のリスクが高まります。チャットツールのサーバーがハッキングされた場合、送受信したテキストメッセージや共有したファイルの情報が漏洩する可能性があります。また、クラウドストレージをハッキングされれば、保存していたデータが盗まれるでしょう。ただ、企業が把握していないため、情報が漏洩しても迅速に対処できません。
近年は、個人情報保護に関する関心が高まっており企業が保有する個人情報が漏洩すれば、信用やブランドイメージの低下につながります。最悪の場合、事業の継続が困難になるでしょう。

不正アクセス

不正アクセスも、シャドーITによるリスクの一つです。従業員が許可なく活用しているスマートフォンやパソコンなどのデバイスは、セキュリティ対策が不十分なケースがほとんどです。セキュリティ強度が低いため、簡単に不正アクセスされる可能性があるでしょう。

アカウントの乗っ取り

シャドーITが原因で、アカウントの乗っ取りに遭うケースもあります。アカウントに登録されていた情報が盗まれたり、データ・システムの改ざんやロックされたりする恐れがあるでしょう。
また、乗っ取られたアカウントによる不適切投稿が原因で、企業の信用が低下するリスクがあります。近年は、個人のアカウントであっても所属先が特定され、企業に悪影響が及ぶケースが少なくありません。

ウイルス感染

ウイルス感染の可能性が高まることも、シャドーITによるリスクです。ウイルスなどのマルウェアに感染したデバイスが社内のネットワークに接続されれば、ネットワーク経由で他のデバイスやサーバーに感染が拡大する恐れがあります。

シャドーITによる被害事例

続いて、シャドーITによる以下3つの被害事例を紹介します。

• 患者情報の漏洩
• ChatGPTへのソースコード入力
• USBメモリーを用いた情報の持ち出し

患者情報の漏洩

スタッフが独自に開設していたGoogleグループにおけるメールの内容が、誰でも閲覧できる状態になっていたとして、2021年1月に国内病院が謝罪しました。同病院の発表によれば、看護師が業務連絡用に開設したGoogleグループに設定ミスがあり、外部からの指摘で発覚しました。

参照：聖マリアンナ医科大学、「Googleグループ」で業務連絡メールが公開状態｜日経クロステック

ChatGPTへのソースコード入力

2023年5月には、韓国の大手家電・電子部品メーカーの従業員がChatGPTにソースコードを入力したとして問題になりました。生成AIには、ユーザーが入力した内容を学習する機能が実装されているため、利用を禁止したり制限をかけたりしている企業が多数存在します。同社も、一部デバイスからの生成AI利用を禁止するポリシーを作成しました。

参照：サムスン、ChatGPTの社内使用禁止　機密コードの流出受け｜Forbes JAPAN

USBメモリーを用いた情報の持ち出し

2023年10月には、国内大手電気通信事業者のグループ会社に勤務していた派遣社員が、顧客情報を私有のUSBメモリーで持ち出したとして問題になりました。同社は、もともと私有USBメモリーの持ち込みを禁止していましたが、監視が不十分で情報の持ち出しにつながったと報告しています。

参照：お客さま情報の不正持ち出しを踏まえたNTT西日本グループの情報セキュリティ強化に向けた取り組みの進捗状況について｜NTT西日本

シャドーITの被害を防止する7つの対策

最後に、シャドーITの被害を防止する以下7つの対策について解説します。

• IT環境の整備
• ガイドラインやポリシーの明確化
• アクセスの監視
• シャドーITに関する調査の実施
• 従業員教育の実施
• BYODの導入
• ASMの利用

IT環境の整備

シャドーITの防止にはIT環境の整備が重要です。「シャドーITが発生する原因」の章で解説した通り、シャドーITが発生する原因の一つは従業員の不満です。従業員の不満が発生しないように、ニーズなどをヒアリングしてIT環境を整えると良いでしょう。
また、従業員が利用したいツールやシステムを申請しやすい体制の構築も重要です。

ガイドラインやポリシーの明確化

ガイドラインやポリシーの明確化も欠かせません。社内ルールが明確でなければ、従業員が悪気なく独自にツールなどを利用する可能性があるでしょう。許可なく私用のデバイス・独自ツールの利用を禁止することや、利用したい場合には許可を取る必要があることをルールとして定め、従業員に伝えると良いでしょう。

アクセスの監視

アクセスの監視もシャドーITの防止に役立ちます。ログなどを監視して、どのデバイスからアクセスされているかを把握すれば、未許可のデバイスが利用された場合に気付けます。また、事前にアクセス可能なデバイスを設定しておくのも良いでしょう。

シャドーITに関する調査の実施

シャドーITが発覚した場合には、原因を詳細に調査しましょう。具体的には、なぜ該当のツールを利用したのか、しなければならなかったのかをヒアリングします。

従業員教育の実施

従業員の教育も欠かせません。従業員がシャドーITの危険性を理解しなければ、社内ルールを定めても守られない恐れがあります。シャドーITの危険性・リスクや、被害が発生した場合のデメリットを定期的に伝えましょう。また、併せて最新のサイバー攻撃手法や防衛策を伝えることで、企業全体のセキュリティリテラシー向上につながります。

BYODの導入

BYODの導入もシャドーIT防止に効果的です。BYODを導入すれば、従業員は自分が使いやすいデバイスやツールを利用できる環境を整えられます。また、従業員は企業に隠さずに申告した上で、デバイス・ツールを利用するようになるでしょう。

ASMの利用

ASMの実施もセキュリティ強化に有効です。ASM（Attack Surface Management）とは、企業や組織におけるIT資産がサイバー攻撃に対してどの程度脆弱であるかを把握して、リスクの可視化と管理を行うセキュリティ手法のことです。攻撃対象を事前に特定して対策すれば、リスク低減につながります。
弊社SMSデータテックでは「ダークウェブアイ/ASM」サービスを提供しています。攻撃対象の緊急度や対応策がわかるため、セキュリティ強化に効果的です。

なお、ASMの詳細は以下をご覧ください。
⇒ASM（Attack Surface Management）とは？実施ステップやおすすめツール7選を解説

まとめ

シャドーITとは、企業が許可していないもしくは、従業員の利用を企業が把握していないツールやその使用状態のことです。企業が把握していないため、適切なセキュリティ対策をできません。また、対処も遅れ被害が拡大しやすい特徴があります。見えないIT資産こそが最大のリスクです。

シャドーITの防止には、IT環境の整備やガイドライン・ポリシーの明確化や、BYODの導入などが有効です。また、ASMで攻撃対象を見える化することもセキュリティ強化に役立ちます。
ダークウェブアイ/ASMで、シャドーITを可視化し安全性を高めましょう。