シャドーIT

よみがな: しゃどーあいてぃー

英語名称・略称: Shadow IT

1行要約（本質）

情シス部門の承認や把握なしに、現場部門や個人が独自に導入・利用しているクラウドサービスや端末。

3つの重要ポイント

現場の利便性追求やスピード重視で勝手に使われるSaaS（ファイル共有、チャット、生成AI等）が典型。

情報漏えい、コンプライアンス違反、ランサムウェア感染、企業データの分散・私物化の温床となる。

頭ごなしの禁止だけでは解決せず、CASB等による利用可視化と公認SaaSの迅速提供が対策の本質。

構造・プロセスの図解

図シャドーITの危険性 vs 健全なガバナンス対応

一方的な禁止ではなく、可視化と公認化で解決

放置されたシャドーIT危険状態

暗黙利用・高リスク

現場が勝手に無料SaaSや個人スマホに顧客データを保存。データ流出や退職者持ち出しのリスク野放し。

健全なガバナンス（CASB導入）統制と利便性の両立

可視化 ➔ 公認化 ➔ 統制

利用実態をツールで可視化。有用なSaaSは全社契約で公認化し、SSOと暗号化で安全に利用開放。

概要・背景・本質

シャドーITは、情シス部門の承認手続きが遅い、または現場のニーズに合致するITツールを提供していない場合に、現場社員が自腹や部門予算でSaaS（Dropbox、無料ChatGPT、非公認チャット等）を使い始める現象です。重大なセキュリティ事故の原因となる一方、現場が真に求めている業務課題を浮き彫りにするシグナルでもあります。

コア概念と着眼点

リスク要因：顧客情報の社外漏えい、退職者によるデータ持ち出し、マルウェア感染、著作権侵害
CASB（Cloud Access Security Broker）：ネットワーク境界で社員のクラウドアクセスを検知・可視化・制御するツール
サンクションIT（公認IT）：厳格な審査を経た安全なSaaSを情シスが先回りして現場に配備
ガイドライン策定：生成AI等の新技術について、安全な入力ルールを定めて適法利用を促進

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午後Iのセキュリティ記述問題や午後II論文で頻出。『シャドーITを禁止するだけでは業務効率が落ち、隠れ利用が加速する。そのため、CASBで利用実態を分析した上で、現場で人気の高かったクラウドストレージを全社公認ツールとして正式導入し、シングルサインオンとアクセス制御をかけて安全に開放した』という模範的ストーリーを構築できる。