「営業部が勝手に無料のクラウドストレージに顧客ファイルを上げていた」「監査で『未把握のSaaSはないのか』と問われて答えられなかった」——情報システム部門がこうした場面でまず知りたいのは、シャドーITの危険性そのものではなく、何から手をつけ、どの順番で、具体的に何をすれば現実的に抑えられるのかという対策の打ち方ではないでしょうか。
シャドーITとは、情報システム部門が把握・承認していないデバイス・ソフトウェア・クラウドサービスを、従業員や部門が独自に業務で使っている状態を指します。禁止通達を出すだけでは現場が別の抜け道を探すだけになりやすく、「見つける・判断する・代替を用意する・教育する・監視し続ける」という段取りで向き合うのが実務的な解になります。
この記事では、シャドーIT対策を進める5つのステップを具体行動まで示したうえで、対策に使うツールの種類と使い分け、見落としがちなシャドーITの種類、実際に起きたインシデント事例までを整理します。自社で何から着手すべきかを判断し、最初の一歩である「可視化（棚卸し）」に進める状態を目指します。
目次
シャドーIT対策の全体像｜「禁止」だけでは逆効果な理由
はじめに、対策の全体像と考え方を押さえます。シャドーITへの向き合い方は、全面的に禁止するか放置するかの二択ではなく、「把握してルール化し、必要なものは正式に認める」中間の進め方が軸になります。
シャドーIT対策は、大きく5つの段階で進みます。①社内で何が使われているかを可視化して見つける、②見つけたものを排除するか・正式に認める（公認する）か・ルール下で許容するか判断する、③現場のニーズを満たす承認済みの代替ツールを用意する、④なぜ危険かと正しい使い方を教育する、⑤使われ方を継続的に監視する、という流れです。
禁止通達だけで終わらせない理由は、シャドーITの多くが「公式ツールが使いにくい」「申請が遅い」といった現場の合理的な事情から生まれるためです。原因を放置したまま禁止だけを強めると、現場はより見えにくい方法へ移り、かえって把握が難しくなります。禁止だけに頼らず、現場のニーズを満たす代替ツールの提供と利用実態の可視化をセットにすることが、シャドーITを現実的に抑える進め方になります。
シャドーITとは（最小限の前提）
シャドーITは、情報システム部門の許可を得ずに従業員や部門が業務に導入したIT機器・ソフトウェア・クラウドサービスを指します。悪意から生まれるとは限らず、多くは「早く仕事を進めたい」という現場の判断の結果です。公的な文書でも、把握できない利用がセキュリティ統制を損なうことが指摘されています。
許可していないハードウェアやソフトウェア、クラウドサービス等が勝手に利用される（いわゆるシャドーIT）と、守るべき業務情報等について、管理者によるセキュリティ統制が行えなくなり、情報漏えいのリスクが増加します。したがって、テレワーク端末にインストールされているソフトウェアや、インストール方法等を管理し、把握していないソフトウェアのインストールや、把握していないクラウドサービスの利用がないようにすることが重要です。
総務省「テレワークセキュリティガイドライン（第5版）」（令和3年5月）https://www.soumu.go.jp/main_content/000752925.pdf
BYOD・サンクションITとの違い
シャドーITと混同しやすい言葉に、BYODとサンクションITがあります。3つの違いは「会社が把握・承認しているか」の一点にあり、シャドーITだけが未承認、BYODとサンクションITはいずれも承認済み、という対比で整理できます。この区別は、後のステップ2で「排除・公認・ルール化」を判断するときの土台になります。
- シャドーIT：会社が把握も承認もしていない私物端末・サービスを業務に使っている状態です。
- BYOD（Bring Your Own Device）：私物端末を、会社がルールを定めて承認したうえで業務利用することを指します。承認の有無でシャドーITと区別されます。
- サンクションIT：情報システム部門が把握し、正式に認めて管理下に置いているITです。シャドーITを「見つけて正式に認める」と、サンクションITに変わります。
シャドーIT対策の5ステップ
ここからは、対策を実際に進める5つのステップを、各段階で何をするかまで具体的に解説します。上から順に着手するのが基本で、最初の「可視化」で現状が見えないと、その後の判断も代替の用意も進みません。
Step1 可視化（見つける）＝何が使われているかを棚卸しする
最初の一歩は、社内で実際にどんな端末・ソフトウェア・クラウドサービスが使われているかを洗い出すことです。何が使われているかが見えないと、リスクの判断もルールづくりもできません。
- IT資産管理ツールやSaaS管理ツールで、端末・インストール済みソフト・利用中のクラウドサービスを自動で収集します。ただし、エージェントや拡張機能を入れていない私物端末・管理外端末での利用は自動では拾いきれません。
- IdP（Google Workspaceなど従業員の認証基盤）の監査ログや、ブラウザ拡張、会計・経費データから、どのSaaSが使われているかを突き合わせます。監査ログはIdPを経由しない個人アカウントでのログインを映さず、ブラウザ拡張は拡張を入れていない端末やアプリ経由の通信を捕捉できず、経費データは無料で使えるサービスや個人のクレジットカードで立て替えた支払いには現れません。
- ツールだけに頼らず、従業員アンケートやヒアリングで「申請していないが使っているもの」を聞き取ります。自己申告に頼るため本人が問題と認識していない利用は漏れますが、ツールの死角を人の目で補えます。
利用資産の所在やバージョンが分からないと必要な対策が特定できないため、公的なガイドラインでも台帳の整備と最新化、資産管理ツールによる統制が有効とされています。
出典・参考資料（2件）
- 参考資料：テレワークセキュリティガイドライン（第5版）「導入ソフトウェア等の管理」「資産台帳の整備」｜総務省（https://www.soumu.go.jp/main_content/000752925.pdf）
- 参考資料：クラウドサービスの安全利用（現状導入済み／利用予定クラウドサービスの洗い出し）｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/sme/shien/tbl5kb0000009ual-att/theme3.pdf）
Step2 リスク評価と「排除・公認・ルール化」の判断
見つけたシャドーITは、すべて一律に禁止するのではなく、1つずつ「どう扱うか」を決めます。判断の軸は、情報漏洩などのリスクの高さと、その業務上の必要性の2つです。
- 排除：リスクが高く、業務上の必要性も低いものは、利用を止めてもらいます。
- 公認（サンクションIT化）：業務上の必要性が高く、セキュリティ要件を満たせるものは、正式に承認して管理下に置きます。
- ルール化して許容：必要性はあるがリスクも残るものは、利用条件（対象データ・設定・端末の要件など）を定めたうえで使ってもらいます。
この3つは、「リスクの高さ」と「業務上の必要性」の2軸で整理すると、自社のケースをどこに当てはめるか判断しやすくなります。特に迷いやすいのは、必要性もリスクも高い右上で、全面禁止でも放置でもなく「条件付きで正式に認める」落とし所を探ります。
| 業務上の必要性：低い | 業務上の必要性：高い | |
|---|---|---|
| リスク：高い | 排除（利用を止めてもらう） | ルール化して許容、または要件を満たせれば公認（条件付き） |
| リスク：低い | 排除または静観（必要性が乏しければ整理） | 公認（サンクションIT化）して正式に提供 |
この「評価してから可否を決める」という進め方は、公的なガイドラインの考え方とも整合します。たとえば私物端末の業務利用（BYOD）についても、リスクを評価して受容可能かを判断したうえで可否を決め、あらかじめルールを策定することが求められています。
出典・参考資料（1件）
- 参考資料：テレワークセキュリティガイドライン（第5版）「BYOD利用について」｜総務省（https://www.soumu.go.jp/main_content/000752925.pdf）
Step3 承認済みの代替ツールを提供する
シャドーITが生まれる背景には「公式ツールが使いにくい」という現場の不満があります。排除やルール化だけで終えると現場は別の抜け道を探すため、同じ目的を満たせる承認済みのツールを用意することが欠かせません。
たとえば無料のクラウドストレージが使われているなら、アクセス権限とログ管理ができる法人向けストレージを提供する、個人のチャットが使われているなら業務用のチャットツールを正式に導入する、といった対応です。選定時には、現場が「公式のほうが便利だ」と感じられる使い勝手まで含めて検討します。
Step4 教育とポリシーの周知を行う
ツールとルールを整えても、従業員にその意図が伝わっていなければ守られません。「なぜシャドーITが危険か」「承認済みのツールは何か」「困ったときはどこに相談するか」をあわせて伝えます。
一度の通知で終わらせず、定期的な研修やポリシーの周知を続けることが効果を左右します。特に、現場が情報システム部門に相談しづらいと感じていると、相談の代わりに勝手な導入が増えます。たとえば、チャットツールに情シスへの相談専用チャンネルを設ける、ツール利用申請のフォームを簡素化して承認までの時間を短くするなど、相談・申請のハードルを下げる具体策もあわせて整えると効果的です。
Step5 継続的に監視する
シャドーITは一度棚卸しすれば終わりではなく、新しいSaaSや生成AIサービスが次々に登場するため、使われ方を継続的に監視する体制が必要です。可視化ツールのアラートやログ、定期的な棚卸しを組み合わせ、新たな未承認利用を早期に見つけられるようにします。
監視は従業員を取り締まるためではなく、組織のリスクを管理するためのものです。目的と収集するデータの範囲を従業員に説明しておくと、監視への反発を抑えられます。
シャドーIT対策に使うツールの種類と使い分け（CASB／MDM／DLP／IT資産管理／SaaS管理）
ここからは、対策を実際に支えるツールの種類と、自社のどの悩みにどれが効くのかを整理します。シャドーIT対策のツールは1種類ではなく、「どこを検知・制御したいか」で選ぶものが変わります。1つですべてをカバーできるわけではないため、自社の優先課題に合わせて組み合わせます。
| ツール種別 | IT資産管理（ITAM） | SaaS管理 | CASB | MDM | DLP |
|---|---|---|---|---|---|
| 主な役割 | 端末・ソフトの棚卸しと利用状況の把握 | SaaSアカウントの可視化・棚卸し・アカウント管理 | クラウドサービス利用の可視化・制御 | モバイル端末のセキュリティ設定の統合管理 | 機密データの持ち出し・送信の検知と制御 |
| 検知できる対象 | 未許可の端末・無断インストールされたソフト、不正PCのネットワーク接続 | 情報システム部門が把握していない未承認SaaS（シャドーIT）、退職者の残存アカウント | 会社が定めたもの以外のクラウドサービスの利用 | 管理外のモバイル端末の設定状況 | 機密データのメール送信・複製・外部持ち出し |
| 向いている悩み | 社内のPC・ソフトの実態が見えない／私物端末や無断ソフトを把握したい | 部門ごとに契約されたSaaSが把握できない／ライセンスや退職者アカウントを整理したい | 未承認クラウドの利用を把握し、必要に応じて制御したい | スマートフォン・タブレットを遠隔で管理し、紛失時にロック・初期化したい | 特定の機密情報が外部に出ることそのものを防ぎたい |
各ツール種別の役割は一般的な定義に基づく。製品ごとに対応範囲は異なります。
シャドーITの入口は、未承認のSaaS・クラウドサービスと、私物端末・無断ソフトの2系統に大きく分かれます。前者を把握したいならSaaS管理やCASB、後者を把握したいならIT資産管理やMDMが起点になります。
CASB（Cloud Access Security Broker）とMDM（モバイルデバイス管理）は公的なガイドラインでも、それぞれクラウド利用の可視化・制御、モバイル端末のセキュリティ設定の統合管理を担うツールとして位置づけられています。
一方DLP（Data Loss Prevention）は、ツールの利用そのものよりも「機密データが外部に出ること」を防ぐ仕組みで、CASBやMDMのような公的機関による定義はありません。シャドーITの可視化の起点というより、持ち出し防止の観点で組み合わせるツールと捉えると位置づけが整理できます。
私物スマートフォン・タブレットの業務利用が自社のシャドーITの中心なら、表のMDMが候補になります。MDMで具体的にできることや自社に合う製品の選び方は、以下の記事で詳しく解説しています。
出典・参考資料（1件）
- 参考資料：テレワークセキュリティガイドライン（第5版）CASB・MDMの定義（脚注・用語集）｜総務省（https://www.soumu.go.jp/main_content/000752925.pdf）
シャドーITの種類と具体例チェックリスト
自社の抜けを拾うために、シャドーITとして使われやすいものを一覧で確認します。次のうち、情報システム部門が把握できていないものがないかをチェックしてみてください。
- 私物デバイス：承認を得ていない私用のPC・スマートフォン・タブレットを業務に使っていないか。
- 無料のクラウドストレージ・ファイル共有：個人アカウントのオンラインストレージに業務ファイルを保存・共有していないか。
- 未承認のSaaS・アプリ：部門が独自に契約したタスク管理・デザイン・翻訳などのサービスを使っていないか。
- チャットツール・フリーメール：個人のメッセージアプリやフリーメールで業務連絡・ファイル送受信をしていないか。
- USBメモリなどの外部記録媒体：管理外のUSBメモリや外付けストレージでデータを持ち運んでいないか。
これらに加えて、近年は見落とされやすい新しい論点が2つあります。自社の対策に抜けがないか、特に注意したいポイントです。
生成AI（シャドーAI）
シャドーAIは、情報システム部門が管理していない生成AIサービスを従業員が業務で使う状態を指します。便利さゆえに広がりやすい一方、入力した内容が外部に送信・保存され、回収が難しくなるリスクがあります。
特に無料プランや個人向けプランでは、利用規約上、入力した内容がサービスの改善やAIモデルの学習に使われることに同意したものとして扱われる場合があります。社外秘の情報や顧客データが学習に取り込まれると、他のユーザーへの回答に間接的に反映されるおそれがあり、いったん送信した内容は後から取り消せません。
法人向けプランでは入力内容を学習に使わない設定が用意されていることもあるため、どのプラン・設定で使うかまで含めてルール化することが求められます。
実際に、ソースコードや会議内容といった機密情報を生成AIに入力してしまう事例が報じられています（後述のインシデント事例を参照）。従来のシャドーITの延長として、生成AIへの入力も監視・ルール化の対象に含める必要があります。
退職者アカウントの残存
退職者のアカウントが停止されずに残っていると、情報システム部門の管理外で生き続ける「見えないリスク」になります。部門が個別に契約したSaaSは入退社の手続きから漏れやすく、オフボーディング（退職時のアカウント停止）の対象から外れがちです。
棚卸しの際は、現在使われているサービスだけでなく「誰のアカウントが残っているか」まで確認し、退職者のアカウントを確実に停止できる仕組みを整えておくことが重要です。
シャドーITを放置するリスクと実在インシデント事例
ここでは、シャドーITを放置した場合に何が起きるかを、上長や現場への説明にも使える形で整理します。管理外の端末・サービス・データは、次のようなリスクにつながります。
- 情報漏洩：設定ミスや誤送信、紛失により、業務情報が外部へ流出します。
- 不正アクセス・アカウント乗っ取り：対策の弱いサービスやパスワードの使い回しを突いて侵入されます。
- マルウェア感染：対策の不十分な私物端末を経由して、社内ネットワークへ感染が広がります。
- コンプライアンス違反：個人情報保護や契約上の守秘義務に反する取り扱いになります。
- 無駄なコストの発生：部門ごとに似たサービスを重複して契約したり、使われていないアカウントの利用料を払い続けたりして、把握されないSaaSのぶんだけ見えないコストがかさみます。
特に、委託先や従業員といった内部からの持ち出しは、まれな事故ではありません。独立行政法人情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2025（組織編）」では、「内部不正による情報漏えい等」が組織向け脅威の第4位に挙げられています。外部からの攻撃だけでなく、管理の内側にあるリスクとして対策の対象に含める必要があります。
出典・参考資料（1件）
- 出典：情報セキュリティ10大脅威 2025（組織編、2025年1月30日公開）｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2025.html）
リスクを具体的に示すために、実際に起きたインシデントを紹介します。このうちTrelloと生成AIの2件は、従業員や部門が情報システム部門の管理外でサービスを使った狭義のシャドーITにあたります。
尼崎市とベネッセの2件は委託先による持ち出しで、厳密にはシャドーITと同じではありません。ただし、いずれも「情報システム部門が把握・管理しきれない端末・媒体・サービスの利用が情報漏洩につながる」点は共通するため、管理外利用のリスクを示す例として取り上げます。
2021年4月、タスク管理サービス「Trello」で、ボードの公開範囲を「公開」に設定したまま業務で使っていた複数の企業・個人のアカウントが問題になりました。採用応募者の個人情報、運転免許証やパスポートの画像、顧客情報などが、検索エンジン経由で誰でも閲覧できる状態になっていたと報じられています。
ボードの初期設定は非公開でしたが、情報システム部門の管理外で導入・設定されたサービスの設定ミスが、そのまま情報漏洩につながった事例です。内閣サイバーセキュリティセンター（NISC）も同月、公開範囲の確認を呼びかけました。
出典・参考資料（1件）
- 出典：複数の「Trello」ユーザーが設定ミスで個人情報を公開か、内閣官房も注意喚起（2021年4月6日）｜INTERNET Watch（https://internet.watch.impress.co.jp/docs/news/1316912.html）
尼崎市のUSBメモリ紛失（2022年・委託先による持ち出し）
2022年6月、尼崎市の業務委託先（再委託先）の従業員が、全市民46万517人分の住民基本台帳情報などを保存したUSBメモリを、データ移管作業のために持ち出しました。作業後に立ち寄った先からの帰宅途中にかばんごと紛失したもので、USBメモリ自体はパスワード設定・暗号化がされており、後日発見されています。
情報システム部門が把握・管理できていない媒体でデータが持ち出せる状態だったことが問題の背景にあります。
出典・参考資料（1件）
- 出典：尼崎市USBメモリー紛失事案に関する調査報告書（令和4年11月28日）｜尼崎市（https://www.city.amagasaki.hyogo.jp/_res/projects/default_project/_page_/001/030/947/houkokusyo.pdf）
生成AIへの機密情報入力（2023年・電機メーカー）
2023年3月、Samsung Electronicsの半導体部門で生成AIの業務利用が許可された直後、従業員がソースコードや会議の録音内容をChatGPTに入力していたと報じられました。入力された内容が外部に送信・保存され回収が難しいことが社内で問題化し、同社はその後、従業員の生成AI利用を制限・禁止する措置をとっています。シャドーAIがもたらすリスクを示す代表的な事例です。
出典・参考資料（1件）
- 参考資料：Samsung Electronics bans employee use of ChatGPT｜The National（https://www.thenationalnews.com/business/technology/2023/05/02/samsung-electronics-bans-employee-use-of-chatgpt/）
委託先の技術者による顧客情報の持ち出し（2014年・ベネッセ）
2014年、ベネッセの顧客データベースの保守管理に従事していた委託先の技術者が、顧客の個人情報を不正に持ち出して名簿業者に売却しました。外部からの攻撃ではなく、管理下にあったはずの内部関係者による持ち出しが原因で、ベネッセの発表当時、約760万件の個人情報が流出し、最大で約2,070万件に漏洩の可能性があるとされました。
アクセスできる人の範囲と、データの持ち出しの監視が重要であることを示す事例です。
出典・参考資料（1件）
- 参考資料：ベネッセ個人情報漏えい事件の概要｜BUSINESS LAWYERS（https://www.businesslawyers.jp/articles/253）
シャドーITが発生する原因と広まった背景
シャドーITが広まった背景には、クラウドサービスが安価で手軽に使えるようになったこと、スマートフォンの普及、リモートワークやBYODが広がったことがあります。現場が便利な道具を自分で選べる環境が整ったぶん、会社の公式な手続きが追いつかないと、未承認の利用が起きやすくなります。
ガートナージャパンが2024年9月に公表した調査でも、クラウドサービスのITベンダーの選定・交渉に情報システム部門以外（非IT部門）が関与している企業が43.3%にのぼりました（2024年4月実施）。導入の判断が情報システム部門の外で進むほど、把握されないサービスが生まれやすくなります。
出典・参考資料（1件）
- 出典：Gartner、デジタル・トランスフォーメーションの取り組みにおける「シャドーIT」の現状に関する調査結果を発表（2024年9月4日）｜ガートナージャパン（https://www.gartner.co.jp/ja/newsroom/press-releases/pr-20240904-shadowit）
ここで押さえたいのは、発生の根を「現場が勝手なことをするから」で終わらせないことです。申請の遅さや公式ツールの使いにくさ、相談のしづらさといった情報システム部門側の仕組みに根があることが多く、その仕組みを変えなければ、禁止を強めても別の未承認利用が繰り返されます。
原因を情シス側の課題として捉え直すと、それぞれに効く対策が5ステップのどこにあるかが見えてきます。
- 申請が重い・承認が遅い：待っていられず現場が自分で導入してしまうなら、Step4で申請フォームを簡素化し、承認までの時間を短くします。
- 公式ツールが現場の業務に合わない：使いにくさが抜け道を生むなら、Step3で同じ目的を満たす使い勝手のよい代替ツールを用意します。
- 危険性やルールが周知されていない：悪気なく使ってしまう状態なら、Step4で定期的な教育と承認済みツールの周知を続けます。
- 情シスに相談しにくい：相談の代わりに勝手な導入が増えるなら、Step4で相談専用の窓口を設け、声を上げるハードルを下げます。
シャドーITを可視化・検知するためのツール（IT資産管理／SaaS管理）
最後に、対策の起点であるStep1「可視化（見つける）」を実際に担うツールを紹介します。未承認のSaaSを見つけたいか、私物端末・無断ソフトを把握したいかで、起点になるツールが変わります。まずは5製品の守備範囲を一覧で見比べ、気になるサービスは各紹介とあわせて確認してください。
| サービス | マネーフォワード Admina | AssetView | LANSCOPE エンドポイントマネージャー オンプレミス版 | JumpCloud | ジョーシス（Josys） |
|---|---|---|---|---|---|
| 起点 | SaaS・ID側 | 端末側 | 端末側 | SaaS・ID側 | SaaS側 |
| 主な検知対象 | 未承認SaaS、退職者の残存アカウント | 未承認端末（不正PC）、無断インストールされたソフト | 未許可の端末・アプリ、不正PCのネットワーク接続 | 未承認SaaS（SaaS Management） | 未承認アプリ・SaaS |
| 生成AI（シャドーAI）への対応 | ブログで言及（製品ページでの機能明記なし） | 対応（ChatGPTへのプロンプト送信ログを取得） | 対応（Webアクセス管理でChatGPTへの書き込み内容を取得） | 明記なし（公式に生成AI検知の記載なし） | 明記なし（公式の製品機能としての記載なし） |
| 提供形態 | クラウド | オンプレミス／クラウド | オンプレミス | クラウド | クラウド |
各製品の対応範囲は公式情報に基づく（2026年10月時点）。詳細は各サービスの紹介を参照。
マネーフォワード Admina（マネーフォワードｉ株式会社）
マネーフォワード Adminaは、従業員を軸にSaaSアカウントの可視化・棚卸しやアカウントのライフサイクル管理を一元化する、情シス向けのSaaS・IT資産管理プラットフォームです。シャドーIT対策の起点となる「未承認SaaSの検知」を標準機能として備えています。
公式の料金ページには「情報システム部門が把握できていないSaaSを検知し、管理者に通知」と記載があります。検知はIdP連携・ブラウザ拡張・会計／経費システム連携の3つの経路で行われ、エージェントやプロキシの導入は不要とされています。
退職者アカウントの棚卸しや、クラウドストレージで意図せず公開されたファイルの検出・共有停止にも対応します。部門ごとに契約されたSaaSの把握から着手したい企業に向くツールです。
AssetView（株式会社ハンモック）
AssetViewの特徴は、必要な機能を目的別のモジュールとして選べる柔軟さにあります。株式会社ハンモックが提供する統合型のIT資産管理ソフトウェアで、PCインベントリの自動収集・操作ログ・USB制御などを備え、端末側からシャドーITを把握したい企業に向きます。
公式の機能詳細ページによると、ネットワーク上のAssetViewクライアント以外のハードウェアを自動検知して未承認端末を遮断する「不正PC検知」や、アプリケーションの起動制限を備えます。生成AIについても、Webブラウザー経由で送信したChatGPTのプロンプト情報（送信日時・内容）をログとして取得でき、シャドーAIの可視化に対応します。
私物端末や無断ソフトの検知を端末側で固めたい場合に適しています。
LANSCOPE エンドポイントマネージャー オンプレミス版（エムオーテックス株式会社）
エムオーテックス株式会社のLANSCOPE エンドポイントマネージャー オンプレミス版なら、IT資産管理・操作ログ管理・Webアクセス管理を自社環境で運用できます。クラウドに預けず社内で完結させる構成で、端末側の利用状況の可視化を軸にシャドーIT対策を進めたい企業に向くエンドポイント管理製品です。
操作ログで未許可の端末・アプリの利用状況を把握できるほか、ポリシー非準拠のPCやネットワーク上のデバイスを検出・遮断できます。生成AIについては、Webアクセス管理機能で、事前に設定したキーワードやURLをもとにChatGPTへの書き込み内容を取得する機能を備えます（対応ブラウザ・条件は公式のシステム要件で確認が必要です）。既存の社内環境で運用を完結させたい場合の選択肢になります。
JumpCloud（JumpCloud, Inc.）
クラウドディレクトリを中核に、SSO・多要素認証・デバイス管理（MDM）・IT資産管理を1つに統合したのがJumpCloudです。ID・アクセスの統合基盤の上で、SaaSの利用状況もまとめて管理できる点が特徴です。
公式のSaaS Managementページでは「Eliminate Shadow IT」を掲げ、シャドーITの検知に加えて、ライセンスの追跡・更新期日の管理・未使用シートの回収ができるとされています。IDとアクセスの一元管理とあわせて、SaaSの棚卸しとシャドーIT検知をまとめて進めたい企業に向きます。
ジョーシス（Josys／ジョーシス株式会社）
ジョーシス（Josys）は、分散しがちなSaaSアカウントとITデバイスを一元管理し、可視化・棚卸しからアカウントのライフサイクル管理までを自動化するクラウドサービスです。未承認アプリの検知を含むSaaS管理を主軸にしています。
公式ブログ「How Josys discovers shadow IT」によると、Chrome／Edgeのブラウザ拡張でログインやブラウジングを監視し、未承認アプリの利用を検知します。あわせてGoogle Workspace・Microsoft Entra ID・Oktaの監査ログから、従業員がアクセスしているアプリを特定します。
入社時のアカウント付与から退職時の停止までを自動化できるため、退職者アカウントの残存対策にもつながります。
ここで挙げたのは、可視化の起点として特に有効なIT資産管理・SaaS管理ツールの一例です。CASBやDLPなど他の種類のツールの役割は、前半のツール種別の比較表で整理しています。機能範囲や課金モデル・料金相場まで横断して比べ、本格的に導入を検討したい場合は、以下の比較記事もあわせてご覧ください。
まとめ
シャドーIT対策は、禁止通達だけで終わらせるのではなく、「①可視化して見つける → ②排除・公認・ルール化を判断する → ③承認済みの代替ツールを提供する → ④教育・周知する → ⑤継続的に監視する」の5ステップで進めるのが現実的です。出発点は、社内で何が使われているかを棚卸しする可視化にあります。
可視化を担うツールは、未承認SaaSを把握したいならSaaS管理、私物端末・無断ソフトを把握したいならIT資産管理が起点になります。まずは自社の優先課題を踏まえて、何が使われているかを見える化するツールから情報を集めてみてください。
よくある質問（FAQ）
Q. シャドーITとは何ですか？
A. シャドーITとは、情報システム部門が把握・承認していないデバイス・ソフトウェア・クラウドサービスを、従業員や部門が独自に業務で使っている状態のことです。私物PCや無料のクラウドストレージ、部門が個別に契約したSaaS、生成AIなどが代表例で、多くは悪意ではなく「早く仕事を進めたい」という現場の判断から生まれます。
把握できない利用はセキュリティ統制を損ない、情報漏洩のリスクを高めるため、見つけて管理下に置く対策が必要になります。
Q. シャドーIT対策は何から始めればよいですか？
A. シャドーIT対策は、社内で何が使われているかを棚卸しする「可視化（見つける）」から始めます。何が使われているかが見えないと、リスクの評価もルールづくりも代替ツールの用意も進められないためです。可視化のあとは、見つけたものを排除・公認・ルール化のどれで扱うかを判断し、承認済みの代替ツールの提供、教育・周知、継続的な監視へと順に進めます。
Q. シャドーITを可視化するにはどのツールを使えばよいですか？
A. 把握したい対象によって起点が変わり、未承認のSaaS・クラウドを見つけたいならSaaS管理やCASB、私物端末・無断ソフトを把握したいならIT資産管理やMDMが向きます。1種類ですべてをカバーできるわけではないため、自社でまず押さえたい入口に合わせて選び、必要に応じて組み合わせます。機密データが外部に出ること自体を防ぎたい場合は、DLPを併用すると役割分担が整理できます。
Q. 小規模な企業や一人情シスでもシャドーIT対策は必要ですか？
A. SaaSを使う組織であれば企業規模にかかわらずシャドーITは発生するため、小規模な企業や一人情シスの体制でも対策は必要です。むしろ管理に割けるリソースが限られるほど、手作業だけの棚卸しには限界があります。可視化・検知を自動化できるツールを活用し、少ない工数で実態を把握できるようにしておくことが現実的です。
Q. シャドーITはすべて禁止・全廃すべきですか？
A. シャドーITの完全な全廃は現実的ではなく、目指すべきはリスクの高いものを排除し、必要なものは正式に認める仕組みを整えることです。禁止だけを強めると、現場は公式ツールの使いにくさや申請の遅さを理由に、より見えにくい抜け道へ移ってしまいます。現場のニーズを満たす代替ツールを用意し、申請プロセスを簡素化することで、シャドーITは自然に減っていきます。
Q. 従業員から「監視されている」と反発が出た場合はどうすればよいですか？
A. 監視の目的と、収集するデータの範囲・収集しないデータを明確に従業員へ説明することが大切です。継続監視は従業員個人の行動を取り締まるためではなく、組織のセキュリティリスクを管理するためのものだと丁寧に伝えれば、多くの場合は理解を得られます。目的と範囲をあらかじめ共有しておくことが、反発を抑える前提になります。
Q. ITポリシーを変えずにシャドーIT対策を始められますか？
A. ツールによる検出・可視化は、ITポリシーを変えなくても進められます。ただし、見つけたシャドーITへ実際に対応する（排除・公認・ルール化する）には、ポリシーの整備が必要になります。まず可視化から着手して実態を把握し、その結果をもとにポリシーを整えるアプローチが、無理なく始められて効果的です。
法人向けサービスを課題別に探すならMCB FinTechカタログ
MCB FinTechカタログでは、決済・金融・バックオフィス領域の法人向けサービスを課題別に探し、気になるサービスの資料をまとめて請求できます。IT資産管理ソフトウェアのほかの課題も、あわせてご確認ください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
