シャドーIT

組織において、シャドーITとは、中央情報システムによって課せられた制限や制約を回避するために、中央IT部門以外の部門によって導入される情報技術（IT）システムを指します。 ^{[1] [2]}シャドーITはイノベーションと生産性を促進できますが、特にそのようなシステムがコーポレートガバナンスと一致していない場合、セキュリティリスクとコンプライアンスの懸念が生じます。^[3]

大規模組織の情報システムは、ユーザーにとってフラストレーションの原因となることがあります。^[2]集中型 IT 部門が提供するソリューションの制限や、個人の生産性に悪影響を与えると考えられる制限を回避するために、非 IT 部門は、特定の緊急のニーズや要件に対応するために独立した IT リソースを開発することがあります。^[4]場合によっては、集中型 IT 部門の外部から IT スペシャリストを採用したり、ソフトウェア ソリューションを調達したりすることがありますが、これはコーポレート ガバナンス チャネルの認識や承認なしに行われることもあります。

シャドー IT は、コーポレート ガバナンスを弱体化させる試みとみなされることが多いですが、多くの場合、シャドー IT の存在は、集中管理された情報エコシステムでは個々の部門のニーズが満たされていないことの指標です。したがって、シャドー IT の直接的な利点は次のとおりです。

• イノベーション:シャドー IT は、変化するビジネス要件の進化に対応する潜在的またはプロトタイプのソリューションのサンドボックスとして考えることができます。また、より広範なビジネス内の制約に応じて、部門間の調整を回避または強化できます。
• 個人の生産性:シャドーソリューションは各部門のニーズに合わせてカスタマイズされるため、関係する個人の生産性が向上します。調査^[5]では、従業員の35%が効率的に作業するためにセキュリティ対策やプロトコルを回避する必要があると感じていることが確認されています。
• 内部コストの削減: BYODなどの一部のシャドー ポリシーでは、直接的なハードウェアおよびソフトウェア コストが削減されるとともに、ローカライズされたサポートが可能になり、IT 部門のオーバーヘッドが削減されます。

情報セキュリティリスクに加えて、シャドーITの影響としては次のようなものがある。^{[6] [7]}

• コスト: 発見されたシャドー IT インフラストラクチャの追加統合、検証、コンプライアンスのために、企業レベルで追加の時間と投資が発生する可能性があります。一方、シャドー ソリューションとして最も低価格のソリューションを選択した部門は、導入とメンテナンスのコストを考慮していない可能性があります。これにより、十分な賛同が得られない場合、投資収益率も低下します。
• 一貫性:シャドウ化された技術ソリューションは集中型のバージョン管理を超える可能性があるため、標準化された方法論や計算から逸脱する可能性があります。また、複数の共存するシャドウ インフラストラクチャによって、アプリケーション ランドスケープが極度に断片化されます。これにより、集中型の構成管理も困難になります。
• 運用の非効率性:確立されたシャドウ ソリューションは、広範囲にわたる使用や不十分なドキュメント化により、より効率的なプロセスの全体的な実装を妨げる可能性があります。シャドウ システムは、特に「大きすぎて潰せない」状態になった場合、集中 IT 部門の統合と保守能力を超える可能性もあります。

シャドー IT により、制御されていないデータ フローが発生する可能性が高まり、さまざまな法律、規制、ベスト プラクティスへの準拠が難しくなります。これには、次のようなものが含まれますが、これらに限定されません。

• サーベンス・オクスリー法（米国）
• バーゼル II (国際銀行基準)
• GLBA（グラム・リーチ・ブライリー法）^[8]
• COBIT (情報および関連技術の管理目標)
• FISMA ( 2002 年連邦情報セキュリティ管理法)
• DFARS (国防連邦調達規則補足)
• GAAP (一般に公正妥当と認められた会計原則)
• SOC (システムと組織の管理)
• HIPAA (医療保険の携行性と責任に関する法律)
• HITECH (経済的および臨床的健康のための医療情報技術法)
• IFRS（国際財務報告基準）
• ITIL (情報技術インフラストラクチャライブラリ)
• PCI DSS (ペイメントカード業界データセキュリティ基準)
• GDPR（一般データ保護規則）^[9]
• CCPA (カリフォルニア州消費者プライバシー法)
• NYDFS（ニューヨーク州金融サービス局）^[10]

組織内でのシャドー IT 活動の量は、定義上不明です。特に、各部門が継続的な業務を確実に行うための予防措置としてシャドー IT 活動を隠すことが多いためです。数字がわかっていても、組織は自発的にその存在を認めたがりません。注目すべき例外として、ボーイング社は、さまざまな部門が公式情報システムの制限を回避するために導入したシャドー アプリケーションの数を説明した体験レポート^[1]を公開しました。

ガートナーによれば、2015年までにほとんどの組織のIT支出の35％が中央IT部門の予算外で管理されるようになるという。^[11]

2012年にフランスで行われた129人のIT管理者を対象とした調査^[12]では、シャドーITの例がいくつか明らかになりました。

• Excelマクロ 19%
• ソフトウェア 17%
• クラウドソリューション 16%
• 12% の
• BIシステム 9%
• ウェブサイト 8%
• ハードウェア 6%
• VoIP 5%
• シャドーITサポート5%
• シャドーITプロジェクト 3%
• BYOD 3%。

こうした非公式なデータ フローの例には、USB フラッシュ ドライブやその他のポータブル データ ストレージ デバイス、インスタント メッセージング ソフトウェア、Gmailやその他のオンライン メール サービス、Google Docsやその他のオンライン ドキュメント共有、Skypeやその他のオンラインVOIPソフトウェア、および自社開発のAccessデータベースや自社開発のExcelスプレッドシートやマクロなど、それほど単純ではない製品が含まれます。データやアプリケーションが保護されたシステム、ネットワーク、物理的な場所、またはセキュリティ ドメインの外部に移動すると、セキュリティ リスクが発生します。

• [2] Tech Republicでの議論
• [3] 業界初のクラウド導入とリスクに関するレポート
• [4] 新しいIT管理三角形におけるシャドーIT