クラウド上の業務ファイルが突然消失……広がる波紋と「シャドーIT」問題

[西沢浩二，ITmedia]

　「退職者のGoogleアカウントが削除されたため、その退職者がオーナーになっていたGoogleドライブのファイルが全て消え失せて大騒ぎしている」。1月中旬、こんな事件を報告するツイートがネットで大きな話題となった。仕事で使われるシーンも増えたクラウドストレージ。その扱いについて改めて見直す動きがユーザーの間で広がっている。

　スマートフォンやタブレットの普及に伴い、さまざまな端末間でファイルを同期できるクラウドストレージの利用者が増えている。その多くは個人向けの無料サービスだが、それらを仕事で使っている人も少なくないようだ。

社内で無許可のクラウドストレージが使われているか（対象：企業のIT担当者189人、出典：トレンドマイクロ）

　セキュリティ企業のトレンドマイクロが昨年8月に実施した調査によれば、社外との業務ファイル共有のために個人向けクラウドストレージなどを使ったことがあると回答した人は33.3％。さらに、社内でそうした無許可の個人向けサービスが使われていると認識しているIT管理者は64.6％に上っている。

　だが、仕事で個人向けクラウドストレージを使うことには多くのリスクがある。個人向けサービスは法人向けサービスと比べてデータのバックアップ／復旧体制が充実していないものが多く、万一のファイル消失時に打つ手がなくなってしまうケースもある。また、無料サービスの多くはファイルの閲覧権限や共有範囲を細かく設定できず、「うっかり社内の機密ファイルを公にさらしてしまった」といった事故が起きる恐れもある。

　社内の情報共有ツールという観点でいえば、昨年、環境省がGoogleの一般向けサービス「Googleグループ」で機密情報を誤って公開してしまっていた事件も記憶に新しい。IT担当者の管理下にない個人向けツールの業務利用は「シャドーIT」とも呼ばれ、企業にとってさまざまな経営リスクを起こしかねない大きな脅威となっている。

社外と業務ファイルをやり取りするツールの使用許可状況。「オンラインストレージ」は明確な利用規定がない（もしくは認識されていない）場合が最も多い（対象：企業の従業員309人、出典：トレンドマイクロ）

　やはり、業務で使うツールはセキュリティ機能やデータのバックアップ機能などが充実している法人向けサービスを使うのが望ましい。多くの法人向けクラウドストレージはファイルの公開範囲を細かく制限できるほか、万一ファイルやユーザーアカウントを誤って消去してしまった際に備え、自動でのバックアップ機能を備えているものもある。

　ちなみに冒頭の事件を報告したユーザーも、Googleの法人向けサービス「Google Apps」を利用していたため後から無事にファイルを復元することができたという。Google Appsではアカウントの削除から5日以内であれば、削除したアカウントとそのユーザーがオーナー権限を持っていたファイルを管理者が復元できるようになっている。

　日本では法人向けクラウドストレージの利用が一般化しているとは言い難いが、米国などでは公式ツールとして導入する企業も増えているようだ。例えば、世界で18万社以上に導入されている法人向けクラウドサービス大手の「Box」は、有力企業ランキング「Fortune 500」に選ばれた企業の97％に利用されているという。

　セキュリティに対する不安などからクラウドの導入に消極的な日本企業が多い中、社員による草の根のクラウド活用はもはや止められない潮流。むしろ、そうしたシャドーITによる思わぬ事故を防ぐためにも、企業が自ら法人向けクラウドストレージの導入を検討することが急務となっているのかもしれない。