IT戦略・ITガバナンス・投資評価重要度:★★★出題: AM2・PM1・PM2

シャドーIT

しゃどーあいてぃー / Shadow IT

情シス部門の承認や把握なしに、現場部門や個人が独自に導入・利用しているクラウドサービスや端末。

3行速習ポイント

現場の利便性追求やスピード重視で勝手に使われるSaaS（ファイル共有、チャット、生成AI等）が典型。
情報漏えい、コンプライアンス違反、ランサムウェア感染、企業データの分散・私物化の温床となる。
頭ごなしの禁止だけでは解決せず、CASB等による利用可視化と公認SaaSの迅速提供が対策の本質。

図解

図シャドーITの危険性 vs 健全なガバナンス対応方式・特性の対比

一方的な禁止ではなく、可視化と公認化で解決

⚖️ 対比軸：［危険状態］放置されたシャドーITVS［統制と利便性の両立］健全なガバナンス（CASB導入）

放置されたシャドーIT危険状態

暗黙利用・高リスク

現場が勝手に無料SaaSや個人スマホに顧客データを保存。データ流出や退職者持ち出しのリスク野放し。

健全なガバナンス（CASB導入）統制と利便性の両立

可視化 ➔ 公認化 ➔ 統制

利用実態をツールで可視化。有用なSaaSは全社契約で公認化し、SSOと暗号化で安全に利用開放。

💡 午後I・午後IIでは全面禁止による業務停滞を避け、CASBで実態を把握した上で安全な公認SaaS・法人向け生成AI環境をSSO統制下で迅速提供する。

概要と本質

シャドーITは、情シス部門の承認手続きが遅い、または現場のニーズに合致するITツールを提供していない場合に、現場社員が自腹や部門予算でSaaS（Dropbox、無料ChatGPT、非公認チャット等）を使い始める現象です。重大なセキュリティ事故の原因となる一方、現場が真に求めている業務課題を浮き彫りにするシグナルでもあります。

重要ポイント・コア概念

リスク要因：顧客情報の社外漏えい、退職者によるデータ持ち出し、マルウェア感染、著作権侵害
CASB（Cloud Access Security Broker）：ネットワーク境界で社員のクラウドアクセスを検知・可視化・制御するツール
サンクションIT（公認IT）：厳格な審査を経た安全なSaaSを情シスが先回りして現場に配備
ガイドライン策定：生成AI等の新技術について、安全な入力ルールを定めて適法利用を促進

試験対策・午後II論文での活用法

午後Iのセキュリティ記述問題や午後II論文で頻出。『シャドーITを禁止するだけでは業務効率が落ち、隠れ利用が加速する。そのため、CASBで利用実態を分析した上で、現場で人気の高かったクラウドストレージを全社公認ツールとして正式導入し、シングルサインオンとアクセス制御をかけて安全に開放した』という模範的ストーリーを構築できる。