シャドーITとは何ですか？
多くの組織には、企業内での使用が承認されているソフトウェア、システム、および SaaS ソリューションがあります。 たとえば、企業は Office 365 や Azure などの Microsoft 製品を業務に公式に使用する場合があります。
シャドーITとは、従業員が企業のITポリシーに違反した場合のことです。 これには、個人のGoogleドライブを使用してビジネスドキュメントを保存したり、未承認のSaaSサービスにサインアップしたり、個人のラップトップにビジネスデータをダウンロードしたりすることが含まれます。 シャドーITは、セキュリティやコンプライアンスの問題が評価されていないか、企業のリスク管理計画に統合されていないため、組織にセキュリティリスクをもたらす可能性があります。
シャドーITの成長
企業は通常、セキュリティ戦略の一環として企業のITポリシーを作成します。 受け入れ可能なソフトウェアのリストを定義することで、組織は潜在的なセキュリティリスクを可視化して制御し、 SaaSセキュリティ ソリューションを導入してリスクを軽減できます。
ただし、企業のITポリシーは、従業員のワークフローに摩擦を引き起こす可能性があります。 これは、従業員が Google ドキュメントを好む場合に Microsoft Office 365 を使用する会社と同じくらい簡単な場合もあれば、セキュリティを向上させるために従業員の仕事を困難にする対策が含まれる場合もあります。
シャドーITとは、従業員の業務遂行能力の障壁と見なされるこれらの制限を回避または克服しようとする試みです。 SaaSソリューションの台頭は、これらのソリューションが承認された企業ソリューションに代わる便利で使いやすい代替手段を従業員に提供するため、シャドーITの成長に貢献しています。
シャドーIT保護の重要性
シャドーITは、従業員にとって無害に見えるか、有益にさえ見えるかもしれません。 生産性を高めるプラットフォームやツールを使用することで、ビジネスの効率と収益性を向上させることができます。 しかし、シャドーITは組織に重大なリスクももたらします。
企業データが未承認のサービスやプラットフォーム(クラウドストレージやSlackなどのメッセージングプラットフォームなど)に配置されている場合、そのデータは企業のITチームやセキュリティチームの可視性と制御の範囲外になります。 このプラットフォームのセキュリティ設定が不適切に構成されている場合(クラウドストレージドライブを公開するなど)、企業の機密データが侵害される可能性があります。 また、シャドーITは、機密データへのアクセスを制御していることを証明できない場合や、特定のプラットフォームの使用がEUの一般データ保護規則で定義されているようなデータ転送ルールに違反している場合、組織にコンプライアンス上の課題をもたらす可能性があります。
シャドーITは、従業員が未承認のサービスにサインアップし、機密データを移動できるため、どの組織でもリスクとなります。 シャドーIT保護は、ITサービスの不正使用を可視化し、不正アクセスや開示から企業データを保護するために不可欠です。
シャドーITのリスクを管理する方法
シャドーITのリスクは、定義上、組織の制御の及ばないシステムを含むため、組織にとって管理が困難です。 従業員は、企業データを不正なシステムやサービスに置き、サイバー 攻撃にさらされる可能性があります。
シャドー IT リスク管理の一般的なアプローチの 1 つは、従業員の教育です。 多くの場合、従業員は、企業のITポリシーを、業務の遂行をより困難にする障害と見なしています。 企業ポリシーとその理由について従業員に教えることで、組織は従業員がそれらに違反する可能性を減らすことができます。
しかし、 従業員教育 は不完全な解決策です。 企業のITポリシーやセキュリティポリシー、その理論的根拠やメリットについて十分な知識を持つ従業員の中には、それらを回避しようとする人もいます。 このような状況では、組織は、シャドーITの使用を特定し、企業がそれに対応できるようにするソリューションを導入することによってのみ、シャドーITのリスクを管理できます。
Managing Shadow IT Risks with Workspace Security Email and collaboration
SaaSソリューションの一般的な機能の1つは、電子メールアカウントに基づいてユーザーのIDを追跡することです。 多くの場合、SaaSアカウントのユーザー名はユーザーのメールアドレスであり、サービスはユーザーにメールを送信してアカウントを確認し、アカウントでのアクティビティを通知します。
組織は、従業員がサインアップする可能性のある不正なサードパーティのSaaSサービスを可視化できない場合がありますが、従業員がこれらのサービスにサインアップするために使用する企業の電子メールアカウントを制御できます。 ウェルカムメッセージ、通知、受信したメッセージに関する電子メールなど、不正なサービスに関連するメッセージの電子メールトラフィックをスキャンすることで、組織は、従業員がビジネス目的で不正なITサービスを使用している可能性が高いケースを特定できます。
Check Point Email Security has built-in support for shadow IT detection. While inspecting email traffic for other threats, Check Point Email Security also looks for these telltale signs of shadow IT. If they are detected, an alert is sent to the security team for investigation.
Shadow IT poses a significant threat to corporate cybersecurity, data security, and regulatory compliance. To learn how to manage your organization’s shadow IT risks, sign up for a free demo of Check Point Email Security today. Alternatively, try it out for yourself with a free trial.
