シャドーITのリスクと管理法【後編】
「シャドーIT」は“あれ”を見れば簡単に検出できるって本当?
猛威を振るっている攻撃の入り口の一つに「シャドーIT」がある。シャドーITによるリスクを確実に減らすためには、どうすればいいのか。対策のポイントを紹介する。
IT部門が関与しないIT活用「シャドーIT」は組織にさまざまなリスクをもたらす。セキュリティを強化して攻撃を防ぐには、IT部門が使われている全てのデバイスやソフトウェアを把握する必要がある。シャドーITのリスクを管理するために、組織には何ができるのか。シャドーITの兆候を見つけ、「技術」と「ルール」の両側面から対策するためのチップスを集めた。
「シャドーIT」は“あれ”を見れば検出できる?
併せて読みたいお薦め記事
連載:シャドーITのリスクと管理法
シャドーITはなぜ危険なのか
組織はシャドーITに対抗するために、まずシャドーITがあることを意識しなければならない。従業員が勝手にツールの利用を開始する背景には、会社から支給されたツールに不満があることがある。組織は会社支給のツールが「古い」「使いにくい」といった不満の声を聞いた場合、それをシャドーITの兆候として捉えることが重要だ。予算の可能な範囲で会社として新しいツールを導入すれば、シャドーITの温床をなくし、セキュリティの向上につなげることができる。
自社でシャドーITがあるかどうかを確認するためのヒントとして、以下の変化が挙げられる。組織はこれらの変化があったら「シャドーITの影響ではないか」と考え、迅速に原因を調査する必要がある。
- アプリケーション実行時間の遅延
- ネットワーク速度の低下
- 10分未満の短期間のシステム停止
シャドーITのよるリスクを低減するために、次の対策が有効だ。
技術面での対策
- ネットワーク監視ツールを用いて、IT部門から許可されているIPアドレスのリストにないIPアドレスを検知する
- 全ITインフラを可視化する
- システム構成が変更されれば、侵入防止システムといったセキュリティ製品のルールを新しいシステム構成に合わせる
- ファイアウォールのルール設定によってアクセスを制御する
- システムにつながっているデバイスを把握するために、定期的にアセット管理ツールを利用する
- メールの疑わしい添付ファイルを特定する
- 自社だけではなく、可能な限り、クラウドベンダーをはじめとした外部パートナーのシステムも監視する
- シャドーIT検知に特化したツールの導入を検討する
ルールによる対策
- IT利用(シャドーIT禁止)について明確なルールを設ける
- 人事部門や法務部門と連携し、シャドーITが発見された場合の罰則を決める
- 全社会議でシャドーITの危険性を伝え、シャドーIT撲滅への協力を求める
- 広く信頼されているベテラン従業員を通じてシャドーITの有無を探る
- シャドーITを巡り、不審な動きに気付いたらIT部門に報告するよう従業員に奨励する
- シャドーIT撲滅の進捗状況をIT部門が定期的に経営幹部に報告する
- シャドーIT対策に詳しい、社外セキュリティ専門家の力を借りる
TechTarget発 世界のインサイト&ベストプラクティス
米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
TechTarget発 世界のインサイト&ベストプラクティス
米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社インターネットイニシアティブ] 人材不足と属人化が深刻に 「攻められない情シス」を変革する一手とは? -
製品資料
[株式会社イトーキ] 会議室が「空いてるのに使えない」問題の解決策とは? -
事例
[株式会社イトーキ] 製造現場を取り巻く経営課題 「持続的な現場力」を強化する方法とは? -
製品資料
[株式会社イトーキ] 社員の力を引き出す、「ABW(Activity Based Working)」を実現する秘訣とは? -
製品資料
[株式会社BREXA Technology] 「インシデント初動対応」が遅れる3つの構造的要因とは?
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
企業が「Microsoft Azure」を選ばざるを得ない理由
-
2
「Active Directory」復旧で“詰む”企業が続出 ランサムウェアに備える4対策
-
3
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
4
なぜノートPCの更新が「4年→6年」に? AIインフラ急拡大の余波
-
5
NVIDIA、フアンCEO辞任で揺らぐ“AI帝国” IT調達計画への影響は?
-
6
HDDではもう限界? AIのGPU待機時間を解消する「大容量SSD」の条件
-
7
Microsoft月例パッチ1400件超で過去最多 「限界点」を迎えたパッチ管理
-
8
「RAGは終わった」は本当か――ロングコンテキストが変えたこと、変えられないこと
-
9
8割がアナログに逆戻り 自治体DXで庁内ツールが定着しない“やっぱりな理由”
-
10
セキュリティ評価「年1回」が39% 人手不足を自動化で解決できない2つの理由
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
AIが苦手な「汚いデータ」になっていない? AI投資を無駄にしないための注意点
-
3
急増する高度なフィッシング詐欺 先回りしてブロックするには何が必要?
-
4
法人向け光回線のプランはどう選ぶ? 機能面/保守体制/コストを一覧で比較
-
5
SNMPより詳細で、パケット解析より簡単な「トラフィック可視化・分析」の方法
-
6
サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには
-
7
三井ホームに学ぶ「無線LAN環境」構築 快適なオフィスと高度なIT運用の両立法
-
8
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
9
「RPA導入の成果が出ない」を防ぐ、成果につながる自動化対象業務の選び方
-
10
自社のメール環境は本当に安全? チェックシートですぐ分かる“今必要な対策”
TechTargetジャパン SNS
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー