「シャドーIT」とは何ですか？なぜそれが問題なのですか？

企業はコンピュータ機器の購入に多額の費用を費やしています。ハードウェアの購入は、ラップトップ、デスクトップ、携帯電話などのエンドユーザーデバイスの両方の形で行うことができますが、サーバーやネットワーク機器などの他のコンピューターハードウェアも含まれます。企業は、ハードウェア上で実行するソフトウェアに莫大な金額を費やすこともできます。まとめると、これらは公式のインフラストラクチャであり、会社はビジネス目的での使用を承認しています。

シャドーITは、人々が未承認のデバイス、ソフトウェア、またはクラウドサービスの使用を開始した非公式のインフラストラクチャの名前です。シャドウインフラストラクチャは、必ずしもビジネスで使用する必要はありません。たとえば、企業がBYOD（Bring Your Own Device）を禁止し、従業員が個人の携帯電話を企業ネットワークに接続した場合でも、シャドーITとしてカウントされます。これは、デバイスが企業ネットワークに接続されており、侵害された場合にマルウェアなどが拡散する可能性があるためです。

未承認のソフトウェアもシャドーITとして分類されます。ソフトウェアは会社のコンピューターで実行されるため、デバイスやネットワークのパフォーマンスやセキュリティに悪影響を与える可能性があります。未承認のソフトウェアの主なリスクは、ソフトウェアが更新されていないこと、またはユーザーが非公式でマルウェアを含むコピーを取得していることです。

クラウドITサービスは、データの処理に使用できるシャドーITの比較的最近の部分です。問題は、これらのサービスが、データを保護し、他の企業に転送しないという企業の法的義務の範囲外になる可能性があることです。また、承認されていないクラウドサービスは、適切な強化プロセスを経る可能性が大幅に低くなり、ハッキングの試みに対して脆弱になる可能性が高くなります。

シャドーITは、定義上、正確な問題とそれらがもたらすリスクが不明であるため、準備と処理が容易なリスクではありません。それらに備える唯一の方法は、手順と計画を作成し、規則を破った場合に明確な結果をもたらすことです。また、機器などを適切に要求するための公式の手順が使いやすいことを確認することも特に重要です。これにより、従業員が簡単であるためにすべきでないことを行う可能性が低くなります。