事例IT部門をビジネスクリエイティブ集団にシステムの安定稼働、コスト削減、コンプライアンス強化など、IT部門の「作業」は年々増加しています。新規事業や新技術の立ち上げなど、企業力強化のうえで不可欠なものは、IT部門の「知恵」です。IT部門がビジネスクリエイティブ集団に生まれ変わるためのヒントやトレンド情報をご提供いたします。サービス視点を持ち、ユーザーへ使いやすいツール導入を目指す働き方改革の機運が高まり、多くの企業が働き方改革を実践するのに伴い、個人所有のデバイスやアプリケーションが業務で使われる可能性も増えています。その方が業務をスムーズに回せていたとしても、放置すれば責任の問題など大きなトラブルになりかねません。した「シャドーIT」をどのように対策すればよいのでしょうか。第1回ガバナンスとセキュリティを脅かすシャドーIT単に禁止しても業務部門から反発を招くだけシャドーITによるリスクを食い止めるには、シャドーITの使用を制限するしかありません。闇雲にそれを着手する前に、なぜユーザーがシャドーITを使ってしまうのか、情報システム部門はその理由を考える必要があります。理由として考えられるのは、会社が用意しているIT環境だけではニーズを満たしきれていないからということになるでしょう。ある企業ではシャドーITをなくそうとコンシューマー向けのオンラインストレージを使用できないようにしました。ところが業務部門のユーザーは、別のオンラインストレージを探して使おうとしたそうです。したイタチごっこを何度か繰り返したのち、A社の情報システム部門は業務部門に対し、会社が指定したサービスとツール以外は使わないようにしました。すると、業務部門から「それでは仕事にならない」という苦情の声が上がったそうです。結局のところ、シャドーITが使われていたのは、外部のビジネスパートナーと情報共有するための手段の使い勝手が悪いためだったといいます。情報システム部門が主導してツールを導入したものの、定着化を図るためのユーザートレーニングなどが十分でないことも大きな原因でした。シャドーITで使われているクラウドサービスを単に「禁止する」というルールを押し付けたところでシャドーITをなくすことは難しいのです。情報システム部門がまずやるべきなのは、言われたポリシーや要件に従うだけではなく、業務部門のユーザー視点によるニーズを把握することです。そのためにはコミュニケーションが必要です。業務部門への聞き取りを行い、ニーズを聞いた上でシャドーITの代替となるツールの候補を探します。業務部門に提案し、了解を得てからツールを導入するのです。情報システム部門が独断で選ぶのではなく、業務部門を巻き込んで決めることが大切です。これならば業務部門のユーザーも決定に従わざるを得ないし、そもそもユーザー視点の使いやすいツールが導入されていれば、シャドーITの発生を抑えられるはずです。鍵を握るのは「ユーザー視点の使いやすいツール」では、どんなツールならばシャドーITを抑止できるのでしょうか。Apps)のようなコラボレーションとコミュニケーションの機能を1つにまとめたクラウドサービスを導入するのも一つの解決策になるでしょう。そこまでの機能は不要という場合には、情報共有の場として、セキュリティ対策やバックアップなどの機能が充実したビジネスユーザー向けのオンラインストレージを選んでもよいでしょう。いえ、シャドーITを完全になくすことは簡単ではありません。業務の利便性ではなく、悪意を持って情報を流出させようとするユーザーが存在する可能性もゼロはないからです。Broker)」と呼ばれるツールです。CASBは、米ガートナーが提唱したもので「複数のクラウド事業者と利用者の間にコントロールポイントを置き、クラウド利用の可視化や制御を行う仕組み」を指すものです。ユーザーがアクセスするクラウドサービスを可視化して機密情報の持ち出しを監視・制御するとともに、セキュリティポリシーに準拠していることを監査するなどの機能を備えており、クラウドサービスの利用が多くなる今日、シャドーIT対策に有効なツールとして注目を集めています。業務部門のニーズの把握を一度きりにするのではなく、継続的に聞き取るスキームを作ることが望ましいでしょう。ユーザーがどのツールを使っているのかをモニタリングして数値化して、対策を図るなどITサービスマネジメント(ITSM)の考え方を取り入れ、次なる改善へと結びつける仕組みを構築する必要があります。資産管理ツールや先述のCASBの管理機能もこれに役立つでしょう。これらのツールをうまく使いこなせば、シャドーITはおのずと減少し、セキュリティ対策と社内の利便性向上を前進させることができるはずです。《連載:第1回》IT部門が考えるべき3種類のIT統制とは《連載:第1回》PoC実施のススメ!――RPA、AIを導入する前に行うこと《連載:第1回》RPAで変わる近未来のシステム運用管理!業務の自動化がIT部門を変える。《連載:第1回》IT部門が考えるべき3種類のIT統制とは《連載:第1回》PoC実施のススメ!――RPA、AIを導入する前に行うこと《連載:第1回》RPAで変わる近未来のシステム運用管理!業務の自動化がIT部門を変える。