定番の対策に潜むセキュリティリスク

「仮想デスクトップで情報漏えい対策」は危うい？　進化するシャドーITの今

企業のVDI管理者にとって、シャドーITの存在は悩みの種だ。無許可のアプリやクラウド型仮想デスクトップを勝手に使うユーザーを放っておくとどのようなリスクがあるのだろうか。

公開 2016年12月14日 08時01分

著者

Brien Posey

[TechTarget]

印刷する

デスクトップ仮想化のコンポーネント（「デスクトップ仮想化の仕組みとメリット」より）《クリックで拡大》

　シャドーITは、IT部門の業務に悪影響を及ぼす可能性があり、VDI管理者を悩ませるさまざまな問題の原因となる。

　シャドーITは一般に、企業のIT部門の目を盗んで、許可されていないサービスを勝手に利用することをいう。この呼び名がよく使われるようになったのはここ数年だが、それよりずっと前からIT管理者を悩ませてきた問題であり、年々進化している。各デスクトップで利用可能なアプリケーションを管理者が完全に制御できるVDI技術を使えば、シャドーITのリスクは減らせるというが、それだけでは問題は解決しない。

併せて読みたいお薦め記事

業務課題から考えるデスクトップ仮想化

シャドーITにどう対応する？

許可されていないアプリケーションの使用が招く問題

　企業のVDI管理者は、従業員に対してさまざまなアプリケーションを使用可能にするが、それ以外のアプリケーションを使いたがる従業員が必ずいる。中にはSaaS（Software as a Service）プロバイダーに登録してクラウドアプリケーションを勝手に使うユーザーさえいる。

　無許可のクラウドアプリケーションを利用する行為は、企業ポリシー違反になるとしても、それだけで問題に直結するわけではない。問題は、それを使って何をするかだ。従業員が無許可のクラウドアプリケーションで社内データを扱った途端に、それまで企業がやってきたデータ保護対策が全部、無に帰してしまう。

　SaaSプロバイダーは、ハッカーの標的となりやすいだけに安全対策に抜かりはないだろう。セキュリティ侵害が発生したら廃業に追い込まれかねないからだ。

　それでも、IT部門の知らないうちに機密データがパブリッククラウドで処理されることにはリスクがある。最大のリスクは、機密データの取り扱いに関する法律に違反することだ。例えば、「医療保険の相互運用性と説明責任に関する法律」（HIPAA法）は医療関連データの不適切な取り扱いに対し、厳しい罰則を定めている。未承認の相手にデータを漏らした場合の罰則は特に厳しい。IT部門の目を盗もうとする従業員は、データの保存と取り扱いに関する法律を意識していないことが多い。そうした従業員の行為が、企業を罰金や訴訟の危険にさらすことになる。

IT部門が支給する端末やOSを使わない従業員

　IT部門が支給する端末を使わずに私物端末を業務に使う従業員も、VDI管理者にとってシャドーITのリスクとなる。あまり多くはないが、IT部門が割り当てる仮想デスクトップを使わず、クラウド型仮想デスクトップを利用する従業員にも警戒が必要だ。普通のユーザーはそのようなことをする可能性が低いため心配する必要は無い。だが高度なスキルを持ったユーザーには要注意だ。

　私物端末やクラウド型デスクトップを使う理由が何であれ、無許可の端末やクラウド型仮想デスクトップは組織にとってリスクとなる。例えば、私物端末を業務用にセットアップした従業員は、そこに何かアプリケーションをインストールするだろう。そのようなアプリケーションは無許可のクラウドアプリケーション同様、データの不正な取り扱いにつながる可能性がある。

　無許可のクラウド型仮想デスクトップはセキュリティも問題だ。IT部門はセキュリティを確保するため、従業員に配布する仮想デスクトップを注意深く設定し、保守する。しかし、従業員が勝手に使うクラウド型仮想デスクトップは、セキュリティを保証できない。未修正のセキュリティホールがあったり、安全なセキュリティ設定をしていなかったりすれば、データ漏えいやマルウェア感染、不正侵入の危険にさらされることになる。

印刷する