CAPPは、米クラウドセキュリティベンダーSkyhigh Networksの後援で実施した調査だ。2014年の第3四半期と第4四半期、さまざまな業界を対象に200人を超える世界各国のIT部門、情報セキュリティ部門、コンプライアンス部門、監査部門の幹部とマネジャーを対象に実施した。

　CSAは、シャドークラウドを「従業員個人、チーム、事業部門が使用し、企業のIT部門が公式に関与していないクラウドアプリ／サービス」だと定義している。「このような未承認のクラウドサービスが使われていると、企業のセキュリティリスクは増大する。データ侵害、コンプライアンス違反、不必要なコスト、その他のセキュリティやビジネス上の問題を引き起こす可能性が非常に高い」とセキュリティ専門家は指摘する。

　CAPPの回答者のうち、従業員が使用しているシャドークラウドの数を把握していると答えたのは、全体の8％程度だった。72％は数は分からないが把握したいと答え、残りの20％は社内で使用されているシャドークラウドの数を特定することについては関心がないと答えた。

　従業員のニーズが最も多いクラウドアプリは、米Googleの「Googleドキュメント」、米Dropboxの「Dropbox」、米Microsoftの「Office 365」のようなファイル共有／コラボレーションサービス（80％）であることが明らかになった。また、コミュニケーションアプリ（41％）、ソーシャルメディアツール（38％）という回答も多く見られた。

　「無料のクラウドサービスによって従業員の生産性を向上することは可能である。だが企業が効果的な情報セキュリティプログラムを実施するには、どんなサービスが使用されていて、どこに会社のデータが保存されているかを把握する必要がある」。CSAの共同創設者であり最高経営責任者（CEO）のジム・レビス氏はこう語る。

　レビス氏は、「シャドークラウドは無視できない問題だが、利用可能なクラウドサービスの数が多すぎて、全てを完全にブロックまたは禁止することはできない」と指摘する。「企業はシャドークラウドのセキュリティを確保し、シャドークラウドアプリ／サービスに適切な承認を与える方法を見つけ、データ漏えいや侵害を防ぐ必要がある。」（同氏）

　クラウドサービスを活用しようとする企業は増えている。「2015年は、IDフェデレーションやアクセス管理が企業にとって以前よりもはるかに大きな役割を持つようになるだろう。これは、クラウドセキュリティ戦略の重要な要素になることが予想される」とレビス氏は語る。

シャドークラウドを管理する

　2014年9月に米シリコンバレーで開催されたクラウドセキュリティ関連イベント「CSA Congress 2014 & IAPP Privacy Academy 2014」では、企業におけるシャドークラウドの使用管理が最大の論点の1つとなっていた。例えば、米インターネットラジオ会社のPandora Mediaは、クラウドサービスの承認やID管理の利用、承認したクラウドサービスに米Amazon Web Servicesの「AWS Identity and Access Management」（IAM）とシングルサインオン（SSO）システムを追加するプロセスについて述べた。

　CAPPの結果からは、クラウドサービスを管理するポリシーやプログラムの類を持っている企業はごく少数であることが明らかになった。クラウドサービスの使用に関するポリシーを「完全に実施している」と回答したのは16％、「部分的に実施している」と回答したのは26％、「全く実施していない」と回答したのは8％だ。ポリシーはないが策定する予定だと回答したのは27％、ポリシーがなく策定する予定もないと回答したのは23％という結果になった。

　調査対象企業の中で、クラウドセキュリティポリシーを策定および更新する公式なクラウドガバナンス委員会を設置している企業は、たったの21％だった。そのような委員会を作る予定と答えたのは31％にすぎなかった。

　クラウドセキュリティベンダーの多くが、シャドークラウドの問題に注力するようになっている。クラウドセキュリティ自動化分野の新興企業である米Palerraの創設者でCEOを務めるロフィット・グプタ氏は、「クラウドサービスの普及によって、企業のセキュリティにおける“死角”が明らかになった。企業はクラウドの使用をもっと積極的に監視しなければならない」と言う。

　「問題はシャドークラウドではなく、会社のデータがどこに行くかだ」と、グプタ氏は語る。「クラウドサービスプロバイダーやそのサービスが必ずしも危険なわけではない。従業員の偶発的な行動によってデータが漏えいする状況が問題なのだ」（同氏）

　CAPPではシャドークラウドだけでなく、企業環境におけるクラウドサービスの成長に関する洞察も得た。クラウドサービスの導入に関する質問では、「注意しながら導入している」と答えたのが41％、「一気に移行している」と答えたのが33％、「調査段階に入ったばかり」と答えたのが15％、「優先事項ではない」と答えたのが11％という結果になった。

　またCAPPでは、クラウド導入に関する懸念事項も明らかになった。回答者の73％はデータセキュリティをクラウド導入の潜在的な障害と見ている。また、38％がコンプライアンスの問題とITサービスの制御喪失の両方が障害だと答えている。