シャドーIT：リモートワーク環境における静かな内部脅威

人間は電気のように、最も抵抗の少ない道をたどります。過去1年間、世界中の企業がコロナ禍を乗り切るため、リモートインフラ構築に奔走しました。多くの従業員にとって、オフィスから完全リモートワークへの突然の移行は、ほぼ手探りの経験でした。IBM Securityの在宅勤務調査によれば、リモート従業員の過半数が、自宅で安全に働くための新しいセキュリティポリシーを一切与えられていません。年末までに全従業員の34%以上が完全リモートになる見込みの中、IT部門は従業員ニーズを満たす安全・セキュアなリモートインフラシステム導入に時間との戦いを強いられています。

適切な指針がない中、従業員は新しいリモートワークソリューション、ブラウザベースSaaSアプリケーション、コンシューマーツールの業務転用を組み合わせたハイブリッドワークフローを採用しました。コミュニケーション、ファイル共有、コラボレーションのために。BYODと緩いセキュリティ監督と組み合わさると、これらの行動はサイバー犯罪から利益を得ようとする悪意ある外部アクターにとって絶好の機会を生み出します。

シャドーITの脅威

「シャドーIT」とは、IT部門の許可や企業統制なしに従業員がセットアップ・使用するアプリケーションとデバイス——主にSaaS——を指す一般用語です。非セキュアデバイスからパブリッククラウドファイル共有、個人メールまで、多くのリモート従業員が最も抵抗の少ない道を選び、シャドーITを受け入れました。これらの極めて危険なワーク行動は、企業データをリスクにさらし、今日のITにおける最大の潜在的脆弱性の一つです。

来年、エンタープライズITチームは、2020年に急いで導入したシステムとインフラを効果的に改革しつつ、既存リモートワーカーの新ニーズを考慮に入れることを強いられます。このバランス調整には、セキュリティとユーザー行動の両方に対処する新戦略とアプローチが必要です。

Cyberarkの2020年調査によれば、働く親にとって利便性がセキュリティを上回ることが多いです。フルタイム在宅勤務へ移行し、育児と家族ケアがサイバーセキュリティベストプラクティスより精神的スペースを占めるようになった結果、働く親の93%がアプリケーションとデバイス間でパスワードを使い回し、29%が自社デバイスを家族に学校課題、ゲーム、買い物などで使用させていると認めています。これらの非セキュアな活動は重大な影響を及ぼし得ます。

Wanderaの最近のレポートでは、組織の52%が2020年にリモートデバイスでのマルウェアインシデントを経験し、2019年の37%から増加。さらに懸念すべきは、2020年にマルウェアで侵害されたデバイスのうち、37%が侵害後も社内メールにアクセスし続け、11%がクラウドストレージにアクセスし続けたことです。

ソフトウェア開発者の一人がラップトップでマルウェアに感染していると想像してください。今、彼らは保護されていないデバイスで必須コードを書いています。そのコードがどこへ行くか、あなたは知りません。公開時にクリーンにしても、誰かがそれを持っているかもしれません。

監視されないデータの危険性

多くの人が認識していないのは、シャドーITが個人DropboxやGmail使用だけでなく、Salesforceのようなウェブベースアプリケーションへのアクセス権を与えながら制御しないことも含む点です。データがローカルに残ったらどうなるか？

Netwrixの最近の調査では、組織の91%が「機密・規制データは安全な場所のみに保存している」と主張します。しかし、24%が過去1年間に指定場所以外でそうしたデータを発見したと認めています。

安全なデジタル環境創造には、最低共通分母を考慮する必要があります。在宅勤務文化が当面去らない中、人間のあまり褒められない習慣を考慮したソリューションを従業員に提供することが、ますます重要になっています。企業ITチームとCIOがシャドーITを真剣に考慮しなければ、最も機密性の高い情報は大きな危険にさらされます。

世界中のハードウェアとソフトウェアソリューションを揃えても、従業員が使わなければビジネスを守れません。現実は、組織が従業員に正しいツールとトレーニングを提供しなければ、彼らは最も抵抗の少ない道を選び、機密データをリスクにさらすということです。与えられたツールについて人を教育することは、ソフトウェアを最初に与えることと同じくらい重要です。ソフトウェアを動かすのが難しすぎれば、会社APIをChromeから直接叩く誘惑が常に頭の片隅にあります。従業員へのベストプラクティス教育と、彼らのニーズに合わせたITインフラ構築が、すべてのCIOとIT部門の礎石となるべきです。

マイケル・アブードは、プライベートクラウドプロバイダーTetherViewの創業者兼CEOです。