ISMSのシャドーIT対策とは？無断利用の把握と社内ルールの整え方
更新日：7 時間前
会社ではファイル共有の方法を決めていたはずなのに、個人のクラウドに顧客資料が残っている。退職の手続きを始めてから、知らなかったチャットや転送サービスが見つかる。シャドーITは、特別な攻撃を受けなくても、日々の仕事の中で生まれます。
見つかったサービスを禁止して終えると、必要な資料が取り出せなくなったり、別の方法で利用が続いたりします。まず利用の理由と保存されている情報を確かめ、会社が管理できる方法へ移すことが大切です。ISOトラストが実際に支援したIT企業の取り組みとともに、その進め方を紹介します。
▼目次
1. シャドーITとは？会社指定のサービスがあっても起こる理由
シャドーITとは、会社のIT管理者が承認していない機器や外部サービスなどを、従業員が業務に使うことです。NICTのCYDER公式用語集でも、組織で認められていない私物機器や外部クラウドの業務利用として説明されています。
例えば、個人アカウントのストレージへの資料保存、私用チャットによる顧客との連絡、未承認のファイル転送サービスによる設計書の送付が考えられます。会社が許可・管理している私物端末の利用まで、すべて同じ扱いになるわけではありません。
無料サービスや個人アカウントだからという理由だけで、危険度を決めることもできません。何を保存し、誰がアクセスでき、会社が権限の変更やデータの回収に対応できるかを確認します。
背景には、大きなファイルを送れない、取引先が別のツールを使っている、申請先が分からないといった業務上の事情もあります。正式なサービスを導入するだけでなく、現場が困ったときの相談方法まで用意しておく必要があります。
2. 利用状況は、サービス名・情報・管理する人をセットで調べる
最初の確認は、責めるための聞き取りにしないことが大切です。「仕事で資料を送るときは何を使っていますか」「外出先ではどこから資料を開きますか」と、普段の作業から聞くと、サービス名だけを尋ねるより実態が分かります。
確認結果は、既存の情報資産管理台帳や利用サービス一覧へ整理します。台帳を新しく増やすより、今の管理方法に必要な項目を加えた方が、更新する場所が分散しにくくなります。
聞き取りだけで分からない場合
会社が管理する範囲の端末情報、利用ログ、契約・経費の情報も、利用状況を確かめる手がかりになります。それぞれ見える範囲には限界があるため、一つの方法だけで漏れなく把握できるとは考えず、対象と担当者を決めて組み合わせます。
確認項目の例：サービスと利用者
サービス名、仕事で使う目的、利用部署・担当者、会社アカウントか個人アカウントか、設定を管理できる人を記録します。これは整理のための項目例であり、すべての会社に同じ様式が必要という意味ではありません。
確認項目の例：保存情報と共有先
顧客資料や個人情報が入っているか、社外へ共有しているか、公開リンクが残っていないか、データを移せるか、退職時に利用を止められるかを確認します。
3. 見つかったサービスは、情報の確認から移行・後処理まで進める
未承認の利用が見つかったら、まず保存情報と共有範囲を確認します。外部への公開や機密情報の流出が疑われる場合は、通常の棚卸しとは分けて社内の報告手順へつなぎます。必要な記録を消してしまわないよう、担当者だけでアカウントを削除しないことも大切です。
継続して使うか、別の方法へ移すかを決める
業務に必要か、会社の基準で管理できるか、顧客との取り決めに合うかを責任者が確認します。継続するなら正式な承認と管理担当を決め、使わないなら代わりの共有方法や保存先を用意します。会社指定の方法では仕事が進まない理由も、この段階で解消します。
移行できたことを確かめてから、元のデータや共有を整理する
会社管理の保存先へ移し、必要な人が自分のアカウントで開けるかを確認します。その後、元の保存データや共有リンク、外部アプリとの連携を整理します。単にコピーしただけでは、個人側や共有先に情報が残る場合があります。サービスの削除・復元・保存の条件も確認して対応します。
個人のチャットは、業務連絡の移し方も決める
顧客との連絡に使っていた場合は、履歴や連絡先をどう引き継ぐかを確認し、会社として管理できる連絡方法を案内します。個人アカウントのパスワードを会社で共有するのではなく、必要な業務情報の引き継ぎと今後の連絡方法を整理します。
4. ISOトラストの支援事例：約25名のIT企業で個人利用を整理
ISOトラストが既存ISMSの運用改善と内部監査を支援した、従業員約25名のシステム開発・ITサービス企業では、Microsoft 365を導入していました。それでも、一部の従業員が個人のGoogleドライブやLINE、会社が承認していない無料のファイル転送サービスを業務で使っていました。
会社側では利用サービスや保存情報を十分に把握できていなかったため、まず従業員へのヒアリングで状況を整理しました。既存の情報資産管理台帳に利用サービスや管理責任者を追記し、誰が管理するのかを明確にしました。
情報セキュリティ管理規程も見直し、新たなクラウドサービスを利用する際の事前承認と、承認していない個人アカウントへの業務情報の保存禁止を明記しました。個人のGoogleドライブにあった業務資料は、会社管理のSharePointへの移行を支援し、移行後に個人側のデータを削除する対応を進めました。
あわせて、未承認サービスや個人アカウントへの保存に関する注意点を従業員へ周知しました。その結果、利用サービスと管理責任者を一元的に把握できるようになり、アクセス権限の見直しや退職時の情報管理にも会社が対応しやすくなりました。
新たなサービスも、従業員が自己判断で使い始めるのではなく、事前に責任者へ相談する運用へ改善しました。新しい書類を多数作るのではなく、既存の台帳と規程を活用して管理負担の増加を抑えた点が、この支援の特徴です。
5. 再び無断利用が増えないよう、申請と代替手段を使いやすくする
事前承認のルールには、相談先と伝える内容を添えます。「使いたいサービス、用途、扱う情報、共有する相手」が分かれば、責任者が検討を始められます。回答の見込みや、急ぎの場合の連絡方法も共有しておくと、申請したまま仕事が止まる状況を避けやすくなります。
禁止する場合も、「何を使えば仕事が進むか」まで案内しましょう。大容量の資料を送れないなら会社指定の共有方法を整え、取引先から別サービスを指定されたら例外の確認方法を決めます。必要な作業を止めたままにしないことが、ルールの定着につながります。
教育では禁止サービスの名前を並べるより、実際の作業で迷う場面を扱います。顧客から私用チャットで資料が届いたとき、外出先でファイルを開きたいときなどに、誰へ相談し、どう扱うかを伝えます。
内部監査や定期的な利用状況の確認では、台帳にあるサービスだけを眺めず、現場の使い方と合っているかを見ます。取引先や業務が変われば、必要なツールも変わります。変更の把握、承認、台帳の更新を一続きにしておきましょう。
6. シャドーIT対策で担当者が迷いやすいこと
ISMSでは、シャドーIT対策の製品を必ず買うのですか？
特定の製品を購入すること自体が目的ではありません。ISO/IEC 27001は、自社の情報とリスクに応じて管理の仕組みを整える規格です。現状の聞き取りや台帳管理で把握できる範囲を確かめ、不足する場合にログの確認や技術的な管理を検討します。
一度見つかったら、すべて利用禁止にすべきですか？
業務の必要性と管理できる条件を確認して判断します。ただし、確認中も機密情報を保存し続けてよいという意味ではありません。共有の制限や一時的な利用停止など、情報に応じた当面の対応を責任者が決め、正式な承認や移行へつなげます。
ルールを作った後は、何を確認すればよいですか？
利用サービスと管理責任者が分かるか、未承認の利用を相談できるか、不要になった共有を整理できるかを、実際の業務で確かめます。ISOトラストでは、既存ISMSの台帳・規程・教育を見直し、日常の仕事で続けられる運用づくりを支援しています。
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント