全ての企業が政府省庁と同様に公開監査の対象となるわけではないが、クラウド利用におけるこの種のシャドーITは、今やあらゆるところで共通の問題となりつつある。

　「それはいつでも、どこでも生じる可能性がある」と語るのは、Webベースのデータ分析会社である米Ekhoのケント・ラングレーCEOだ。「私は自社に導入されているものの中に、月額使用料700ドルのサーバ群を見つけたことがある。誰かがテスト用に大規模インスタンスを立ち上げ、そのまま放置していたのだ」

　「シャドーITは、クラウドコンピューティングに対する企業の抵抗感の結果として生じたものもある。だが今日、この問題はどちらかといえば、うっかりミスから生じることが多くなってきた」と指摘するのは、米ITコンサルティング会社Cascadeoの共同創立者、ジャレド・レイマー氏である。

　とはいえ、そうしたミスでも、結果的に深刻な問題をもたらす可能性がある。クラウド環境では、非公式に立ち上げたシステムの後始末を怠ると、「往々にして重大な問題につながる」とレイマー氏は警告する。なぜなら、外部のサーバはパッチを当てられることなく放置され、ハッカーの餌食になりやすいからだ。

　便利なものには、常にセキュリティの危険が伴うということだ。

　「シャドーITがやっていることは、インスタンスを立ち上げ、パブリックIPを付与することである。それが好都合で便利であるからなのだが、結局はファイアウォールの外部に資産を置き、そこからファイアウォールの内側へ逆アクセスできるようにしているだけだ」とレイマー氏。その結果、内部システムを危険にさらす可能性がある。

シャドーITを回避する方法

　明るいニュースは、クラウド（とそれらの利用に伴う潜在的な危険）が広く普及するとともに、シャドーITのリスクを軽減する方法も考えられるようになってきたことだ。

　NASAの監査官たちは、CIO執務室による監督を今までより強化することを提言している。また、社内にシャドーIT問題はほとんどないとする企業のIT専門職たちは、クラウド導入に対する幹部の強力なリーダーシップと問題認識が解決策をもたらすと指摘する。

　そうした企業の中には、クラウド導入のために、承認手順を再検討したところもある。

　「当社では、事業部に審議機関を置き、こうした問題に対処している。専用のチェックリストやドキュメントを用意して、問題がないか確認する。もちろん、セキュリティは最大のチェックポイントだ」とするのは、米ITソリューションベンダー、Reed Elsevier Technology Servicesのアーキテクト、マット・リピンスキー氏だ。

　また、Fortune 100社にリストアップされる企業では、1人の経営幹部がコーポレートクレジットカードに課金されているクラウドを発見し、直ちに危険性の高い未承認システムをシャットダウンさせたケースがある。

　「常に金の流れをチェックすることだ」と、同社のエンジニアリング担当ディレクターは公にはできない話題だけに、匿名を条件にそう語った。

　シャドーIT問題に関しては、技術的な対応策も幾つかある。

　「われわれはプロキシログを見て、どのサイトが常時利用されているか確認している。そしてセキュリティチームがそれらを常にチェックして、問題の発生を防いでいる」と語るのは、米人材派遣会社、Robert Half InternationalのCIO、シーン・ペリー氏である。

　一方、米医薬品メーカーのAMAG Pharmaceuticalsでは、幾つかのツールを用いてクラウド導入を管理している。同社のIT担当副社長兼チーフクラウドアーキテクト、ネーサン・マクブリッジ氏によると、それらのツールは、Google Driveに保存された180万件に上る文書を監視する「CloudLock」、監査証跡とともに電子メールアーカイブを作成するGoogleの「Postini」、そしてアウトバウンドのイーサネット接続で特定のタイプのトラフィックを監視する「SpectorSoft」だ。

エンドユーザーと対立ではなく協調

　シャドーITの解消に成功したIT専門職たちによると、問題解決には文化的な適応が要求されるという。

　「エンドユーザーは昔よりはるかに洗練されている」とペリー氏。「ユーザーは賢くなり、一方でソフトウェアの機能は向上している」

　そのため、企業風土やセキュリティの充実度にもよるが、シャドーITによるIT導入を阻止するよりも、ユーザーに働き掛けてセキュリティポリシーを教育する方がはるかに容易な場合もある。

　「SaaS（Software as a Service）アプリケーションを積極的に活用している事業部門に働き掛け、われわれのデータセンターで稼働するシステムを提供し、よりよいソリューションを提供する以外にない」とペリー氏は強調する。「そうすることで、彼らが何をしようとしているのか、われわれによりオープンに話してくれるようになった」