「先日、無鉄砲なCEOがいるというクライアントと話をした。このCEOは何か発議したいことがあるとき（それにはクラウド関連の案件も含まれるが）CIOや最高財務責任者（CFO）の許可も得ずに行動してしまうというのだ」カルドウェル氏はそう話を切り出した。

　実際、クラウドサービスの導入について各事業部門には選択の余地がないというのは、よくある話だ。そうした企業では、経営幹部が決定した方針に対する“完全に合理的な対応”をするしかない。

　カルドウェル氏によれば、多くのCEOやCFOは「IT部門には多くの利益を生み出している分野に注力してもらいたい」と考えているという。それは主要な金融システムであったり、在庫管理システムであったりする。カルドウェル氏は自身の専門分野であるソフトウェアを例に挙げ「経営幹部は、重要度の低い分野のアプリによってIT部門の作業が中断されることを望んでいない。例えば、GRCアプリケーションやベンダーリスクマネジメントアプリなどは重要なアプリと見なされていない」と語る。

　このような状況は、従業員が勝手に業務利用のアプリを導入することにつながる可能性がある。彼らはソフトウェアのサポートに関してIT部門よりもベンダーの方が頼りになることを知っているからだ。「電話をかければ、ベンダーの担当者と話ができる。だが、IT部門に内線電話をかけても、話ができるのは地球の裏側にいる外注のサポート担当者かもしれない」とカルドウェル氏はいう。

調達部門と監査の必要性

　このような状況が横行すれば、誰がどのソフトウェア（あるいはSaaS）を導入しているのか、それがコンプライアンス基準を満たしているのか否か、誰も把握していないということにもなりかねない。カルドウェル氏の経験では、「シャドーSaaS」（または“勝手クラウド”）をうまく囲い込んで制御しているCIOには、社内の調達部門や内部監査機能と「本当に密接に」連携しているという。調達部門には購入したものと所有者の関係を追跡するツールがある。それを使って使われているサービスをリストアップし、リスクを特定し、ポリシーを設定する。そして、それが終わったら、内部監査の力を活用するときだ。

　調達部門のない企業のCIOは、事業部門の幹部と一緒にトップダウン形式でポリシーを策定する必要がある。ポリシーには、導入されているSaaSの棚卸しを実施する方法とSaaSのリスクについて従業員を教育する方法が含まれていなければならない。一方で、ポリシーには合理性も求められる。例えば、「Dropbox」の使用を禁止したいのであれば、IT部門が代替サービスを用意する必要があるが、これは簡単に使用および提供できることが条件になる。具体的には、Dropboxと同様に社内外のビジネスパートナーと共同作業を行える機能が必要になる。「エンドユーザーのニーズを本当に満たしている代替サービスを企業が用意しないと、ポリシーは機能しない」とカルドウェル氏は話す。

また、各事業部門にエンタープライズクラスの代替サービスを提供する価値があるとも限らない。「エンタープライズリスク管理（ERM）製品が3日ダウンしたからといって、困る人はいない。それがCRMなら話は別だが」とカルドウェル氏はいう。

監視ツールを活用せよ

　シャドーSaaSの導入状況を可視化するために役立つツールがある。以前米Cignaで最高情報セキュリティ責任者（CISO）を務め、現在はセキュリティコンサルタントとして活動しているクレイグ・シュマード氏は米国のセキュリティ系新興企業Skyhigh Networksのファンだ。Skyhigh Networksは、APIから既存のログとデータを使用してシャドーSaaSを検出／分析／監視／制御するのに役立つ製品を提供している。また、異常のある動作を特定したり、クラウドベンダーのセキュリティを評価したり、アプリの使用について企業が規定した規則に基づいてアドバイスを提供する分析製品もある。企業が危険と見なしているアプリを従業員が使用すると警告が表示され、アクティビティログは会社のセキュリティ情報管理（SIM：Security Information Management）ツールや情報漏えい防止（DLP：Data Loss Prevention）ツールに組み込むことが可能だ。ツールにログを組み込むと、既存のセキュリティへの投資を活用することができる。ツールがもたらす最大のメリットは、クラウドの用途について事業部門の担当者と知的な議論を交わせるようになるデータが提供されることだろう。「私がセキュリティ担当者なら金の鉱脈を見つけたとでもいうだろう」とシュマード氏は自身の見解を述べる。

　脳の研究をサポートする米国の非営利組織Dana FoundationでIT部門のディレクターを務めるジム・リュット氏は、米Netskopeのテクノロジーを使用しているという。Netskopeは、クラウドアプリセキュリティの新興企業だ。警告を使用して動作を検出および監視し、適切な行動を教育する非公開のループシステムを提供している。

　Dana Foundationは、リュット氏がそれまで属していた医療業界や金融業界とは異なり、厳しい規制を受けていない。だが、スタッフは外部に漏れたら問題になるような機密情報を扱っている。「シャドーITに関する主な懸念事項は、ユーザーの技術的な知識不足だ。ユーザーはフィッシングのような攻撃の影響を受けやすい」とリュット氏は語る。

　Netskopeのツールは45日前にインストールしたばかりだ。このツールでは、APIレベルでクラウドアプリを把握する分析機能を使用する。従業員が使用するクラウドアプリのアクティビティは、コンテンツのダウンロード、コンテンツの共有、ドキュメントへの署名など、40種類ある操作のいずれかに分類される。

　リュット氏によれば、多数のユーザーがDropboxを使用していたのもさることながら、最も驚いたのは、あるサードパーティーのコメントシステムだったという。「多くのユーザーが、私が聞いたこともないアプリケーションを使用してデータをやりとりしていた」（リュット氏）。使用パターンを分析したところ、「幾らかの管理を行える」ことが分かったため、現在、これに代わるもっとコスト効率の高いシステムを探しているところだという。

　「これは非常に興味深いツールだ。ガバナンスとリスク緩和以外の役割も果たす。ユーザーの行動とその理由、プロセスを再考する必要があるかどうかに関する知見も得られる」とリュット氏は語る。