多くの企業は、社内ネットワークを監視して、そこで行われていることを追跡するとともに、フィルターを導入して特定のサービスを締め出している。だが、このアプローチでは、無許可のサービスの利用を食い止めることは難しく、どのサービスなら利用を許可できるのかを判断するための明確な戦略を立てることもできない。適切な対策を講じるためには、従業員が利用しているサービスを把握することが必要だ。

　コンシューマー向けクラウドサービスの社内利用対策の担当者は、コンシューマライゼーションがもたらした全ての変化に応じていると、いつの間にか動きが取れなくなる羽目に陥りかねない。そろそろ、もっと先を見越したアプローチに切り替えるときだ。従業員がどんなサービスを利用しているのかを把握するだけでなく、利用を制限すべきサービスと認めるべきサービスを明確にして、生産性の向上と企業資産の保護の両立を目指すべきだろう。

現状を把握する

　どのサービスをブロックし、どのサービスを許可するか。それを決める前に、従業員が今、業務に利用しているサービスを知る必要がある。そのようなサービスが多く利用されるのには理由があるはずだ。従業員は何の妨げもなく業務を遂行できることを望んでいる。だが、IT部門公認のツール／サービスの多くは使い勝手が悪い。どんなサービスが使われているのか、そしてその理由が分かれば、適切なクラウドサービス戦略を立てることができ、従業員は企業データを危険にさらすことなく仕事を進めることができる。

　どんなサービスが実際に使われているかを知ることは、口で言うほど簡単ではない。会社支給のモバイル端末での使用が認められているアプリを監視・管理する目的で、モバイルデバイス管理（MDM）やその他のエンドポイント管理システムを導入していても、完全な全体像までは把握できない。こうした端末の管理には限界があり、セキュリティソフトを導入していたとしても、その端末が社内ネットワークに接続されていなければ、どうすることもできない。クラウドサービス向けセキュリティソリューションプロバイダーの米Skyhigh Networksが、100社以上、300万人超の従業員を対象に調査した2013年のリポートによると、1つの企業で平均して545種類のクラウドサービスが業務利用されているという。

　また、米セキュリティ企業McAfeeの2013年のリポートによれば、1つの企業で従業員の80％が無許可のクラウドサービスを利用しており、中でもIT関連職種の従業員による利用が多いという。一般に想像されていたよりも、無許可クラウドサービスの利用が広がっていることは明らかだ。社内ネットワークを監視してモバイル端末を管理している企業ですら、実態を完全には把握できていない。

　だからといって、管理・監視戦略を放棄していいというわけではない。従来の企業システムの範囲を超えたところで、自社の従業員が何をしているかを把握することが必要だ。その答えは簡単ではなく、現状を偽りなく評価できるかどうかは、少なくとも部分的には、企業におけるIT部門とそれ以外の従業員との関係によるだろう。IT部門を除外して実像を把握したければ、調査プロセスを社外に委託する必要があるかもしれない。他に方法がなければ、どんなサービスを使っているのか、従業員に直接聞いてみよう。

クラウドサービスをブロックする

　どんなサービスが使われているかという実態を把握した上で、その中の特定のサービスをネットワーク上でブロックするという決定に至ることがある。社内ネットワークを監視している企業であれば、既にある程度トラフィックをフィルタリングしている可能性が高い。また、会社支給端末にインストールできるアプリをMDMソフトウェアで制限することもできる。ただ、この戦略が有効なのは、従業員の端末が完全に管理下にあり、社内ネットワークから外には絶対に出ない場合に限られる。だが、そのような状況はまれだ。

　それでも、サービスをブロックすることは、社内環境をコントロールする上で重要な役割を果たしており、何をブロックするかを慎重に検討することが重要だ。前出Skyhighのリポートによれば、IT部門の傾向として、既知の情報に基づいてサービスをブロックし、リスクよりも生産性や処理能力を重視するという。ブロックすべきサイトのトップに米Netflix（オンラインDVDレンタル・動画配信サービス会社）が挙がるのも当然だろう。

　企業はブロック戦略を見直して、もっとリスクに焦点を置くべきだ。例えば、IT部門は現在、安全性の高いファイル共有サービスである「Box」をブロックしておきながら、もっと危険な無名の類似サービスをブロックしていないことが多い。あまり知られていないサイトに企業データを置くことは、Boxにデータを置くよりもはるかに危険性が高い。にもかかわらず、IT部門は、何が重要かということより、よく知っている情報の方を重視するあまり、低リスクのサービスを高リスクのサービスの4割以上も多くブロックしている、とSkyhighのリポートは伝えている。

　有効でより安全なブロック戦略を打ち出せたとしても、その効果は限定的であることを忘れてはならない。従業員が外部ネットワーク（モバイルブロードバンドなど）につないで端末を使えば、ほとんど何でも従業員の自由にできてしまう。サービスをブロックする戦略によって、IT部門と他の従業員の間に、協力関係ではなく、敵対関係が生まれる可能性もある。ブロック戦略のせいで従業員の業務遂行能力に影響が出るようでは、なおさらだ。

クラウドサービスの選別

　ブロックするサービスを選ぶことより、許可するサービスを選ぶことの方が、恐らく重要だ。この場合も、どんなサービスが業務に使われているかを把握することから出発する。従業員に聞けば、そうしたサービスのどの機能が仕事の役に立っているかが分かるだろう。

　まず、最も危険性が低く、最もユーザーのニーズを満たしているサービスを選び出し、それ以外は除外する。例えば、従業員に利用されているファイル共有サービスが20種類あったとしても、必要な機能を全て備えているサービスは10種類ほどで、それらのうち、十分に安全なサービスはほんの一握りだろう。それらだけを検討の対象とし、残りは対象から外す。

　このプロセスのある時点で、IT部門側の具体的な要件を明確にしておく必要がある。当然ながら、セキュリティは最優先事項になるだろう。企業統治、リスクおよび法令順守のポリシーに従って、データを保護することは必須条件だ。また、サービス提供者が第三者の監査を受けているかどうかを確認し、監査を受けている場合は、監査報告書を精査することも重要である。

　さらに、サービス提供者が社内でどのようなセキュリティ対策を導入しているかを把握し、従業員のトレーニングや顧客データへのアクセスといった項目も検討する。他の事業者と比較して、事業の詳細をきちんと示すことができるサービス提供者がいれば、その点も検討材料にするとよい。

　セキュリティはもちろん、セキュリティ以外のIT要件も考慮しなければならない。例えば、自社の現行システムに統合可能なAPIが提供されているかどうか。導入、管理、パフォーマンス、可用性、その他の関連事項も考慮に入れる。

　もちろん、これらはサービス提供者に求める条件の一部にすぎない。まず自社のニーズを確認し、次に特定のサービスを選んだら、SLA（提供者と利用者の間で期待されるサービスレベルを明確に定義する合意書）を締結することが望ましい。SLAには、セキュリティ、規制順守、データ復旧計画、再委託契約、万一の事業廃止に備えた移行計画などの項目を明記する。また、問題解決の時期と方法、その他の重要事項についてもSLAで規定する。

コンシューマー向けクラウドサービスの業務利用

　以上をまとめると、サービスを選ぶときは、プラットフォームやテクノロジーより、従業員および情報を重視することが大事だ。ネットワークの監視と端末の管理は、このサービス選定プロセスにおいて重要な役割を果たすだろうが、活用できるツールは他にもある。企業にとって最大の資産は、サービスを現在使用している従業員たちである。

　人材という資産を最大限に生かすためには、コンシューマー向けクラウドサービスを業務に導入する戦略に、従業員の包括的なトレーニングや教育も組み込む必要がある。前出のMcAfeeのリポートによると、IT管理者の大多数が、クラウドサービスの利用を制限する正式なポリシーが規定されていると答えたのに対し、他の従業員の71％は、そのような正式なポリシーはないと答えている。サービスの利用を監視し、ポリシーを適用するだけでなく、そうしたポリシーの存在と役割について従業員を教育することが重要だ。

　いずれにしても、従業員は自分の仕事をこなさねばならず、IT部門は企業資産を保護する必要がある。企業全体の戦略によって、従業員の業務を妨害することなく、機密情報を守らなければならない。そのような戦略には、管理と柔軟性の適正なバランスと、従業員の働き方と企業資産の守り方について新しいソリューションや新しいアプローチに目を向ける姿勢が求められる。