クラウドツールの社内導入ルール・基準について

質問

お世話になります。

クラウドのツールを、企業で導入する際のルールや選定基準などについて、教えてください。

当社は設立１０年程度の教育系ベンチャーで、私は情報システム部門で社内SEを担当しています。

ここ最近、事業部門で様々なクラウドツール（今年情報漏洩が発覚したTrelloや、boxなど、、、）
をどんどん勝手に入れてしまい、使い勝手がよいツールだと事業部門内でかなりスタンダードになってしまい、いきなり情シス部門に管理を任されるケースがあり困っております。

情報漏洩のリスクや運用面の手間等、いくつかの観点があるかと思いますが、こうしたことを防ぐために、

・他社がどのようなルールを設けているか

・何か公的な、もしくは有効なガイドラインや導入の基準があれば知りたい

・MDM等を入れることにより制御できるのか

等々、有効な手立てがあればぜひアドバイスをいただけないでしょうか。

ちなみに、ADもMDMも未導入です。

必要な情報があれば加筆いたします。

どうぞよろしくお願いいたします。

回答No.2

celtis · ベストアンサー

いわゆるシャドーIT問題には、許可のないクラウドサービスの利用も含まれます。
https://www.hammock.jp/assetview/media/what-is-shadow-it.html

IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」の中にある
「付録6： クラウドサービス安全利用の手引き」という章が参考になるでしょう。
https://www.ipa.go.jp/security/keihatsu/sme/guideline/

アプリを勝手にインストールされないようにするには、通常業務に使うユーザーを管理者権限のない標準ユーザーに変更しましょう。
管理者権限は情報システム部門の人間だけが、メンテナンス用に使うだけで十分です。
おそらく大反対されると思いますので、上長を巻き込んで社則に盛り込みながら進める必要があるでしょう。

Webブラウザ経由のクラウドサービスを制限するには、ルータやファイアウォールによる制御が必要になると思います。

お礼

これこそ待っていた回答です！！
IPAの指針もあり、とても分かりやすいです！！
ベストアンサーにさせていただきます。
ありがとうございました！！！

回答No.1

JP002086

情シスに居た立場で、言いますね。

通常は、その様な事をここで聞くものではありません。
この様な相談にのってくれるコンサルタントを探して、一緒に改善を図る事です。

社内規定や個人情報の扱い等々も改変して（ドキュメント上）行かなければなりません。
それと、最低限必要な情報を収集する。
例えば、
JPRSのメールマガジン;ZD NETのメールマガジン;トレンドマイクロのメールマガジン;JIPDECのメールマガジン；ITmediaのメールマガジン等々（私が読んでいるメールマガジンの一部です）
です。

既に、社内の各部門が了解；承認もなしに勝手に導入している事で、薄々気付いているかもしれませんが、システム的にはどの様にでも出来るのですが、それを壊してしまうのは「人」なのです。
この「人」の知識レベル；認識レベルを底上げしないと、システム的にどの様な手段・手法をとっても「知らなかった；想定していなかった；だから自分は悪くない。悪いのはお前だ」になります。

まず、最初に、あなたが遣らなければならないのは「人で苦労したコンサルタント」を探して、自分の味方に付けて一緒にコンプライアンス部分から考えてくれる方を探してください。
多分、契約金（1カ月の）って初任給の年俸が飛びます。

ご参考にどうぞ

お礼

ご回答ありがとうございました！人が大切ですね！！その通りだと思いました！！