『AI・クラウドファースト』のための最適な社内ネットワークとは？
- 祥貴 藤村
- 10月7日
- 読了時間: 7分
更新日：23 時間前
はじめに：進むAI・クラウドの利活用
ここ数年で、企業のIT環境は大きく変化しています。生成AIの登場により、社員がChatGPTやCopilotなどのAI・クラウドツールを使って業務効率を上げるようになり、社内外で広く使われています。さらにテレワークの定着によって、社員が自宅や外出先から社内データへアクセスする機会も増えました。
こうした環境の変化は、業務のスピードを高め、生産性を向上させる一方で、「どのツールがどこで使われているのか」を情報システム部門が把握しにくくなるという新しい課題を生み出しています。その代表的なものが 「シャドーIT（Shadow IT）」 です。
シャドーITとは会社の許可を得ずに、従業員や部署が独自に導入・利用しているIT機器やクラウドサービスのことを指します。
つまり、「便利だから」「すぐ使えるから」といった理由で、会社が管理していないツールを使って業務を進めることです。
【シャドーITの問題点】
情報システム部門にとって、シャドーITの最大のリスクは「見えないIT利用の増加」にあります。
生成AIやクラウドサービスが急速に普及し、社員一人ひとりが便利なツールを自由に選択しうる状況になったことで、組織の外側に“もう一つの情報システム”が生まれつつあります。
この見えない領域は、管理・監査の対象から外れるため、情報漏えいや不正アクセスといったリスクを見逃してしまう恐れがあります。また、万一インシデントが発生したとしても、操作ログやアクセスログが取得できず、原因の特定に時間を要してしまい、被害が拡大してしまう可能性もあります。
【なぜシャドーITをするのか】
こうした状況に対し、会社が取るべき対応は、単に「利用禁止」を掲げることではありません。
むしろ、現場がなぜ非承認ツールを使うのか、その背景を理解することが出発点になります。
多くの場合、既存システムの使いにくさや、業務スピードに合わない承認プロセスが、社員を承認されていない生成AIやクラウドサービスを利用する”シャドーIT”に向かわせています。
生成AI・クラウドサービスを「安全に使える」環境を整えることで、社員が働きやすく、より生産性を高めることが、あるべきシステム環境/統制のきっかけとなります。
想定されるシャドーITの被害ケース
ケース①：個人クラウドストレージ経由での情報漏えい
外部パートナーとのファイル共有や在宅勤務中の作業をスムーズに進めるために、社員が個人のGoogle DriveやDropboxを利用するケースがあります。
しかし、これらのアカウントは企業のアクセス制御やログ管理の対象外であり、共有リンクが「誰でもアクセス可能」な設定のまま放置されることも少なくありません。
結果として、社外に機密文書が公開されたり、退職者が業務データを保持し続けるなど、意図しない情報流出につながるリスクが生じます。
特に、顧客リストのようなデータが漏れると、信用失墜や取引停止といった重大な影響を及ぼします。
ケース②：フリーメールを利用した業務連絡による誤送信・漏えい
取引先とのやり取りを急ぐあまり、フリーメールで業務データを送信してしまうケースも後を絶ちません。これらのメールは暗号化や送信ログの管理が不十分であり、誤送信や不正アクセスによるメール経由の情報漏えいが発生しやすい傾向にあります。また、企業ドメイン外のメールを利用すると、会社のセキュリティルールによる制御ができないだけではなく、監査対応が困難になり、コンプライアンス違反として内部統制上の問題を指摘される可能性もあります。
ケース③：生成AIツールを介した機密情報の外部流出
文書作成やプログラム開発の効率化を目的に、ChatGPTやCopilotなどの生成AIを業務に活用する社員が増えています。
しかし、プロンプトに社内資料や顧客情報をそのまま入力してしまうと、入力内容がAIの学習データとして扱われ、外部に情報が蓄積・再利用されるリスクが発生します。
特にクラウド型AIサービスは海外サーバで運用されている場合も多く、データの保存場所や取り扱いポリシーが不透明なまま利用されるケースもあります。
業務改善のつもりが、結果的に重大な情報漏えいを引き起こす可能性があるのです。
ケース④：私物端末の業務利用による感染・持ち出しリスク
テレワーク環境や外出先での対応を理由に、社員が自宅のパソコンや個人スマートフォンを使って業務データにアクセスするケースがあります。
こうした端末は、ウイルス対策ソフトの更新やOSセキュリティパッチの適用が不十分であることが多く、マルウェア感染や情報搾取の入口になりやすい点が問題です。
また、端末の紛失や盗難によって顧客情報や営業資料が流出するリスクもあり、私物端末利用を許可していない企業では特に大きな統制上の課題となります。
オフィスの外側からアクセスされることで、ファイアウォール等の既存のセキュリティ機器で制御できないという点も大きな問題です。
Cato SASEクラウドで
『AI・クラウドファースト』の安全な業務環境へ
Cato SASEクラウドは、本社・拠点・テレワーク・出張先など、どこからでも同一のポリシーを適用できる統合セキュリティ基盤です。
すべての通信がCatoのクラウド上で統一的に検査・制御されるため、働く場所を問わず、一貫したセキュリティレベルでシャドーITのリスクを防止することができます。
解決①：利用できるアプリを自動で制御し、非承認ツールの利用を防止
Cato SASEクラウドのインターネットファイアウォール機能を使うと、クラウドサービスの利用をアプリ単位あるいはカテゴリで制御が可能です。たとえば、Google DriveやDropboxなどの特定のアプリを制限することも可能ですし、Google DriveやDropboxなどのクラウドストレージすべてをひとまとめにカテゴリ単位で制御することも可能です。
知らず知らずのうちに利用されていたアプリを排除し、会社の統制に基づいた運用が実現できます。
解決②：承認されたメールツール・会社ドメインに限定し、情報漏洩を防止
上述の通り、Cato SASEクラウドのインターネットファイアウォール機能を利用して、会社の承認のメールアプリにのみ限定することが可能です。
さらにCASB（Cloud Access Security Broker）を組み合わせることで、ドメインを会社ドメインにのみ限定することも可能です。
これにより、誤送信や社外ドメインを経由した情報漏えいを防ぎつつ、すべての通信を監査ログとして一元管理でき、安全かつコンプライアンスに準拠したメール運用を実現します。
解決③：生成AIなどへの入力内容を監視し、機密情報の送信を検知・遮断
Cato SASEクラウドののDLP（Data Loss Prevention）機能を利用することで、 通信内容に含まれる社外秘データや個人情報を検知・ブロックします。
利便性・生産性を保ちながら情報漏えいリスクを最小限に抑制します。
解決④：端末の状態を判定し、安全なデバイスのみアクセスを許可
Cato SASEクラウドでは、端末の状態（OSバージョン、ウイルス対策、ディスク暗号化など）や特定の証明書を確認したうえで通信を許可することができます。
基準を満たしていない端末はブロックされるため、ウイルス感染や紛失によるデータ流出を未然に防止します。
テレワークや外出先からの利用でも、常に一定のセキュリティ水準を維持できるため、 IT管理者の負担を軽減しながら、安心して柔軟な働き方を推進できます。
まとめ
AI・クラウドの活用、そしてテレワークの拡大により、シャドーITは多くの企業で避けられない課題となっています。重要なのは、ツールの利用を禁止するのではなく、「安全に使える環境を整える」ことです。
そのためには、ユーザー・デバイス・アプリを一元的に可視化し、ポリシーを統合的に管理できる仕組みが必要です。Cato SASEクラウドは、場所を問わず統一ポリシーで制御できるため、シャドーITのリスクを抑えながら、柔軟で安全な働き方を実現します。
真のSASEプラットフォーム”Cato SASEクラウド”に精通した経験をもとに、お客様の状況に寄り添いながらゼロトラスト実現のため、一緒に検討いたします。
【無償デモ】AI・クラウドの見える化を体感しませんか？
Cato SASEクラウド経由でアクセスをさせることで、利用されているクラウドサービスやアクセス先が一目で把握することができます。
インターネットファイアウォールやCASB、DLPを組み合わせることで、シャドーITをはじめとする様々なセキュリティの課題に対応することが可能です。
実際のデモでは、お客様からよく寄せられるユースケースをもとに、「どのようにCato SASEクラウドで課題を解決できるのか」を管理画面を操作しながら具体的にご紹介します。
お気軽に下記よりご相談ください。
