Homes.comやBoattrader.comなど、26もの情報サイトを運営し、これら情報サイトの大半をホストするために2つのデータセンターを運営しているマーケティング会社のDominion Enterprisesでバイスプレジデントと最高情報責任者（CIO）を兼任するジョー・フラー氏は、シャドーITの対策について「長いものには巻かれろ」と表現する。

　「シャドーITと戦うのではなく、受け入れるようにしている」（フラー氏）

　フラー氏の部門は、データセンターからAmazonの「Amazon Web Services」（AWS）とMicrosoftの「Microsoft Azure」に直接接続を提供している。Dominionの社内ホスティング比率は、AWSのホスティング比率に近い。「ホスティング料金の明細書を社内のビジネス部門に送るときは、クラウドの請求額の要約も含めている。このような情報を含めることで、社内と社外で何に対して費用を使っているかをビジネス部門の幹部が理解できる」とフラー氏は語る。

　Dominionでは社内のAWSとAzureのシステム／ネットワークエンジニアにトレーニングも実施している。その目的は、IT部門のホスティング環境外で、エンジニアがこれらのサービスを使用する開発チームのリソースにすることだ。

シャドーIT対策を立てるための主な4つのステップ

　ミシガン大学でIT部門のディレクターを務めた経験のあるティム・ロールストン氏によれば、ミシガン大学でもシャドーITは約10年にわたって続く問題だったという。この状況によって、同校のIT部門は公式のITサービスによるシャドーITの管理と統合に習熟した。その経験に基づき、ロールストン氏はシャドーIT対策を立てるときには次の4ステップによるアプローチを推奨している。

ステップ1：導入の道筋を作る

　大半のユーザーは、公式なITシステムが対処していないニーズを満たすためにシャドーITを利用する。ロールストン氏はこうしたシャドーITを“ギャップソリューション”と呼んでいる。

　「管理下にある環境でうまく機能しているギャップソリューションを見つけたなら、それを受け入れるべく資金を投入するべきだ。適切な価値があるなら、そのシステムをサービスカタログに取り入れるのがいいだろう」（ロールストン氏）

ステップ2：既存のサービスへの適応を検討せよ

　ユーザーにとって、シャドーITで使うアプリやサービスは会社のIT部門が提供する同じ機能のアプリやサービスより使いやすい場合がある。そのため、そのようなアプリやサービスの使用を禁止するより、IT部門が提供するアプリやサービスの不満を解決することを検討すべきとロールストン氏は指摘する。

　次に、サービスに変更を加えて、その理由をユーザー全体に伝達する必要がある。可能であれば、検討プロセスにシャドーITのユーザーを巻き込んで、IT部門が新たに導入するアプリやサービスを全社的に勧めるように働きかけるのも有効な手だ。「シャドーITで一連の業務フローを組み上げてしまった者は高く評価しなければならない。そうすることで、他のユーザーが新たなシャドーITを作るのではなく、IT部門にニーズを伝えるよう促すことができる」（ロールストン氏）

ステップ3：シャドーITを上回るサービスをエンドユーザーに提供できない場合でも、そのシャドーITをつぶしてはならない

　小規模なシャドーITシステムに勝るサービスを提供できない可能性がある。その場合は、シャドーITの継続運用を認め、あらゆるサポートや投資を可能な範囲で提供すべきだろう。「アプリをサポートする資金的な余裕がない場合は、そのことを率直に話さなければならない。そうすることで、シャドーITが深く埋もれて見えなくなり、その特定がほぼ不可能になる状況を防ぐことができる」（ロールストン氏）

ステップ4：自社製のITを表彰せよ

　最も優れた自作ITシステムを使用しているか、既存のITサービスの向上について最も的確な提案をしたエンドユーザーには、企業が表彰や特典を与えるべきだろう。「そうすることで、社員がシャドーITに手を出す前に、自社製のシステムや不満点について意見を伝えるよう促せる」（ロールストン氏）

シャドーITのリスクを取り除くための改善

　ここで紹介した4つのステップが全ての企業に適しているとは限らない。だが、「これらのステップによって、IT部門は同じ会社の仲間であって“敵対心”を持っているのではないことを従業員に理解してもらえる」とロールストン氏は補足する。

　シャドーITの存在は、IT部門がビジネス目的を満たせていない証しになる。「重視すべきはシャドーITの管理や排除ではなく、それを不要な状態にすることだ」とBen Piper Consultingの創立者でITコンサルタントを務めるベン・パイパー氏は指摘する。

　シャドーIT対策を講じる場合、IT部門はあらゆる要望に対してその理由となるビジネス目標を特定しなければならない。新しいソフトウェアをインストールする要望が寄せられれば、その理由を確認して本当のビジネスニーズを明らかにする必要がある。「IT部門が自分たちをサービスプロバイダーと考え、ビジネスコンサルタントとしての役目を放棄しているケースはあまりに多い。ITマネジャーはIT部門が購入する全てについて、それによって提供するサービスではなく、達成できるビジネス目標について説明できなければならない」とパイパー氏はいう。

　シャドーITのリスクは常に存在し、それは今後も変わらない。そう語るのは、セキュリティコンサルタント会社New Contextのセキュリティサービス部門でバイスプレジデントを務めるアンドリュー・ストームス氏だ。シャドーIT対策を講じるとき、IT部門が取る最善の行動の1つはコミュニケーションとストームス氏は語る。「他部門に出向いて、ユーザーと話をするべきだ。信頼関係を育むことで、ユーザーのニーズや問題点が理解できるようになる」（ストームス氏）