「シャドーIT」の実態を把握するために、何が重要になるのか：それはリスクです（1/4 ページ）

[横手絢一，ITmedia]

　前回の『「シャドーIT」を放置することで生じる、2つの経営リスクとは』では、経営視点から見るシャドーIT（企業のIT部門が認識していないツールを業務で勝手に利用すること）の放置によるリスクや実態把握の重要性について述べてきました。

　第3回目は、経営リスクを軽減するために必要なシャドーIT対策の実例に触れていきたいと思います。SaaSの利用頻度とツール数は年々増えており、企業におけるシャドーIT対策は重要性を増しています。今の時代において、1〜2年に1回のペースでの棚卸ではセキュリティリスクの低減はできません。

　四半期に1度など、より高頻度のサイクルでシャドーITの実態把握の機会を設けて定期的にチェックすることをおすすめします。最近では、リスク対策のために必ず月初に退職者のアカウント削除漏れがないかチェックを実施している企業もあります。このように、シャドーIT対策を定常業務に組み入れるのも一つの方法です。

「シャドーIT」対策の肝は？（出典：ゲッティイメージズ）

　ただSaaSのソフトウェア、アプリケーションは多様化しています。そのため、全て対応しようとすると、リソース不足によって運用が回せなくなってしまいます。例えば、業務に関係ないアプリケーション（エンタメ系アプリなど）に関しては、ITリテラシー向上を目指した社員教育プログラムで取り扱い、まずは情報漏洩リスクの高いアプリケーション（ファイル共有サービス、ストレージ、SNSなど）を重点的にウォッチするなど、優先順位をつけて対策を打っていくといいでしょう。