シャドーITの理解

IT（情報技術）の分野に長く携わり、緑色のディスプレイモニターを使っていた時代を覚えている人なら、すべてが厳重に管理され、一元化されていた時代も覚えていることでしょう。1980年代初頭、ローカルエリアネットワーク（LAN）が普及し始めると、それに伴い分散化が進み、組織内の各部門が自部門のIT要件を直接管理できるようになりました。こうして「シャドーIT」が誕生したのです！

シャドウITとは何ですか？

「シャドウIT」とは、組織内のIT部門やセキュリティ部門の知らぬ間に、組織内でIT関連のハードウェアやソフトウェア製品が利用されることを指します。ファイル共有アプリ、ソーシャルメディア、コラボレーションツールなど、クラウド上のコンシューマー向けアプリケーションの品質向上を背景に、近年その利用は飛躍的に増加しています。また、各機能部門や主要事業部門も、エンタープライズクラスのSaaSアプリケーションを導入することで、その恩恵を受けています。

同期間中、ファイル共有アプリ、ソーシャルメディア、コラボレーションツールをすべて結びつける「接着剤」としての役割を果たす電子メールの利用も増加しましたが、そこに問題があります。スパムメールやその他の悪意のあるメールが劇的に増加したのです。

DMARCは、正当なメールドメインを偽装したスパムや悪意のあるメールの量を削減する手段として導入されました。DMARC規格の採用率は急速に高まっています。これは、多額の金銭的損失や組織のブランドへの信頼低下を招きがちなメール詐欺に対抗する効果が実証されているためです。

DMARCは、なりすましからの保護に加え、組織に対して自社のメールドメインに関する可視性を提供します。つまり、サードパーティのプラットフォームプロバイダーによるすべての利用状況を特定し、監査する機能です。IT部門は、送信元アドレス（FROMアドレス）の一部として自社のメールドメインを使用している一部のシャドーITプラットフォームを把握し、容認している場合もありますが、同様に利用している他の多くのプラットフォームについては把握していない可能性もあります。

DMARCは、各機能チームやその他の事業部門が組織が定めたベストプラクティスに基づく利用ポリシーに従えるようにすることで、サードパーティ製プラットフォームのシャドーIT利用を正当化する一助となったメカニズムと言えます。さらに、DMARCには、適切なセキュリティ対策が講じられていないサードパーティ製プラットフォームを特定し、その利用を停止できるという利点もあります。

企業の取締役会レベルでサイバーセキュリティが常に議題に上る現代において、DMARCはスプーフィングなどの脅威を排除するのに役立つだけでなく、組織内の従業員がサードパーティ製プラットフォームをどのように利用しているかを可視化し、セキュリティポリシーの徹底を促進します。

この会話を続けたいですか？dmarcianフォーラムへどうぞ