リスクを管理する枠組み重要に
ますます活気づく「勝手クラウド」がもたらす悪夢
SaaSの普及で「勝手クラウド」がもたらすリスクが組織全体に広がっている。勝手クラウドが革新を生み出すことがあったとしても、クラウドに伴うセキュリティリスクのためにその価値は相殺される。そろそろ管理すべき時だ。
ITの中心部に潜む悪のことを知っている人物がいるとしたら、それは影のIT（シャドーIT）だ。
会社の許可を得ないまま、あるいはIT部門が関与しないまま、個人や事業部門が技術的要望を外部のクラウドに求めれば、会社にとっての打撃は大きい。この「勝手クラウド」または、「シャドーIT」が組織に革新をもたらすことがあったとしても、クラウドに伴うセキュリティリスクのためにその価値は相殺される。
シャドーITは何年も前から存在していた。部門内のPCに隠れた「Microsoft Access」データベースに始まって、「Salesforce.com」や「Yahoo Mail」「Google Docs」でインターネットへと進出。現在に至っては、「Workday」「Concur」「Dropbox」といったSaaS（Software as a Service）が普及して、価値とリスクの両方が組織全体にまん延している。そろそろ「発見」「監視」そして（強すぎない）「禁止令」という昔ながらのやり方で、シャドーITを管理すべき時だ。
発見
シャドーITをコントロールするためには、社内にアプリケーション認識アプライアンスを導入することが第一歩となる。シャドーITがどの程度の問題を投げ掛けているか把握することは不可欠だ。一般的な組織において、その影響は大きい。セキュアWebゲートウェイ（SWG）や次世代ファイアウォール（NGFW）は、組織内で使われているSaaSを発見するための基本的な機能だ。クラウドベースのSWGではモバイルユーザーも網羅できる。こうしたアプリケーションは一般的に、管理下にあるアプリケーションの一覧とURLを照らし合わせる。
SWGやNGFWは、接続リクエストに対してその可否を判断する仕組みで運用される。識別・分類されるWebアプリケーションの数は何千件にも及ぶ。一般的な組織ではこの手順を通じ、会社のポリシーで許可されているかどうかは別として、その多くが使用されていることを確認できる。発見の仕組みは、「クラウドアプリケーション管理システム」の第一歩でもあり、その価値は監視を通じてさらに強まる。
監視
組織の中には、シャドーITアプリケーションのメリットを重視し、単純にITリスクを管理するフレームワーク内で、シャドーITを活用する方法を見いだすケースもあるかもしれない。クラウドアプリケーション管理市場に投入されている最近のセキュリティ製品を利用すれば、SaaSの活用をうまく促進することができる。このアプローチでは、ユーザーとアプリケーションの間に設置されたゲートウェイを通過する全トラフィックをチェックし、SaaSを監視する。ファイアウォールによる単なるアクセス制限ではなく、こうしたシステムではアプリケーションのあらゆる機能を検証できる。データを収集して複数のアプリケーションで横断的にユーザーの行動を監視できる他、複数のユーザーによるアプリケーションの利用を監視できる。
アーキテクチャの観点で見ると、クラウドアプリケーション管理システムは、一般的なプロキシ（フォワード＆リバース）としてオンプレミスに導入することも、スパンポートに導入することもできる。だが、その真の価値はモバイルユーザーにも対象を広げられることにある。クラウドベースゲートウェイは、シングルサインオン（SSO）システムとの連係、またはアプリケーションの設定を通じたサービスアクセスの管理によって、この範囲も網羅できる。
クラウドセキュリティ監視にはさまざまなメリットがある。ツールを使えばコンプライアンスの懸念に対応し、将来の利用状況分析に備えてログを記録できる他、機械学習の手法を使って不正な攻撃や不審な内部関係者の挙動を洗い出すことができる。
この分野に進出している数少ないベンダーは、米SkyHigh Networks、米Adallom、米Netskope、米Imperva（2014年2月に米Skyfenceを買収）、米Bitglass、米Elastica、米FireLayersが挙げられる。
禁止令
シャドーITを取り締まる最後の手段が禁止令だ。ユーザーが従来型のコントロールをかわそうとすれば、セキュリティ担当者に懸念が生じ、提供しているサービスの見直しを強いられる。この段階ではよりきめ細かいポリシーの導入が役に立つ。例えば、所在地や利用端末の種類、時間帯、ファイルの種類や機能などに関連付けた具体的なコントロールを適用すれば、（誤検知の減少を通じた）生産性の向上や、目標とするITリスクの低減につながるはずだ。
影はコンピューティングリソースが組織にもたらす真の恩恵を認識している。市場におけるシャドーITの原動力を認めながら、リスクを適切に管理するための運用の枠組みを作り出すことが重要だ。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[SCSK株式会社] 「Dropbox」管理・運用の困りごと解決ガイド -
事例
[SCSK株式会社] 東急建設や朝日放送など4事例に学ぶ、クラウドストレージ移行のポイント -
製品レビュー
[株式会社シーイーシー] 脱VMwareは単なる移行で終わるのか？ 後悔しない次世代基盤の選び方とは -
市場調査・トレンド
[株式会社日立ソリューションズ] クラウド型ストレージと文書管理システム、その使い分け方とは？ -
市場調査・トレンド
[グーグル・クラウド・ジャパン合同会社] AIの悪用でサイバー攻撃が加速、インシデント調査で判明した脅威の実態と防衛策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
2
「生成AIの導入・活用」に関するアンケート
-
3
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
4
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
5
Claude利用8割のGMO、AI人材の評価軸が「トークン管理」に変わった
-
6
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
7
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
8
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
9
「セキュリティ運用と侵入後の初動防御」に関するアンケート
-
10
「オフィス移転・刷新に伴うネットワーク環境の実態」に関するアンケート
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
7
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
「標的型攻撃メール」事例・サンプル集
-
10
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー