シャドーITが生まれる理由と禁止一辺倒にしない統制の組み立て方

営業部門が顧客とのやり取りに個人アカウントの無料チャットを使っている。設計データが私物のクラウドストレージ経由で協力会社へ渡っている。議事録の要約に、会社が契約していない生成AIサービスが使われている。どれも珍しい光景ではありません。情報システム部門の許可を得ずに業務で使われるサービスや機器は、シャドーITと呼ばれます。

シャドーITの厄介さは、使っている本人に悪意がない場合が多いことです。目の前の仕事を早く終わらせたいという動機で選ばれるため、禁止の通達を出しても消えません。会社に見えない場所へ移るだけです。この記事では、シャドーITがなぜ生まれ、管理の外にあることが何を引き起こすのかという機構を押さえたうえで、禁止一辺倒にしない統制を、可視化、リスク評価、公式代替の整備、ルール化、技術統制という順序で組み立てる方法を整理します。

シャドーITと呼ばれるものの範囲#

総務省の「テレワークセキュリティガイドライン」第5版（令和3年5月）は、許可していないハードウェアやソフトウェア、クラウドサービスなどが勝手に利用される状態をシャドーITと呼び、守るべき業務情報について管理者によるセキュリティ統制が行えなくなり、情報漏えいのリスクが増加すると説明しています。ポイントは、対象がソフトウェアに限らないことです。典型例を挙げます。

最後の行は見落とされがちです。個人が勝手に使う無料サービスだけでなく、部門が正式に費用を払っているのに情報システム部門が把握していないSaaSも、管理の外にある点では同じです。契約書があっても、アカウント管理やデータの所在を誰も統制していなければ、リスクの構造は変わりません。

正規の手段が不便なところにシャドーITは生まれる#

シャドーITを従業員のモラルの問題として扱うと、対策を誤ります。典型的な発生の機構は単純で、正規の手段で業務を終わらせるコストが、無許可の手段のコストを上回ったときに選ばれます。社内のファイル共有では取引先に渡せない、申請から利用開始まで数週間かかる、貸与端末が重くて外出先で開けない。そうした不便が積み重なった場所に、数分で使い始められる無料サービスが入り込みます。

背景には、クラウドサービスが業務の標準になったという環境の変化があります。総務省の令和7年版情報通信白書によると、クラウドサービスを利用している企業の割合は2024年時点で80.6%に達しています。ブラウザとメールアドレスさえあれば高機能なサービスを即日使える環境が当たり前になった以上、調達の遅い組織ほど、正規ルートの外で業務が回り始めます。

つまりシャドーITの発生量は、従業員の規範意識だけでなく、正規手段の利便性と調達スピードを映す指標として読めます。この見方に立つと、対策の中心が「取り締まり」から「正規手段の改善」へ移ります。後述する統制の順序は、この因果を前提に組んでいます。

管理の外にあることが生む三つのリスク#

シャドーITのリスクは、個々のサービスの品質ではなく、管理の外にあるという状態そのものから生まれます。現れ方は三つに整理できます。

第一に、漏えいに気づけません。会社が管理するシステムなら、アクセスログや操作ログが残り、異常の検知も事後の調査もできます。個人アカウントのクラウドストレージから情報が流出しても、会社側には検知する手段がなく、外部からの指摘で初めて知ることになります。個人データの漏えいで報告対象事態に当たれば、個人情報保護法にもとづく個人情報保護委員会への報告と本人への通知の義務は、経路がシャドーITであっても免れません。気づけないことは、義務を果たす起点を失うことでもあります。

第二に、退職後にデータとアカウントが残ります。会社のアカウントは退職手続きで無効化できますが、個人アカウントに同期された業務ファイルは、本人の手元に残り続けます。IPAの「組織における内部不正防止ガイドライン」が、私物のクラウドストレージへの同期のような経路まで持ち出しの統制対象に含めているのは、この残り方が内部不正の温床になるためです。悪意の有無にかかわらず、会社が消せないコピーが社外に増えていきます。

第三に、監査と契約の統制が届きません。委託先や監査人に対して安全管理措置を説明するとき、把握していないサービスは説明の対象にすら載りません。さらに、無料サービスの利用規約は事業者側の都合で変わり、データの保管場所や学習への利用条件も会社は交渉できません。クラウドの設定ミスによる公開事故も、管理者が存在しないシャドーITでは点検の機会がないまま放置されます。総務省が2022年10月に「クラウドサービス利用・提供における適切な設定のためのガイドライン」を、2024年4月に解説版の「クラウドの設定ミス対策ガイドブック」を公表しているのは、正規利用ですら設定不備の事故が続いているためで、誰も点検しないシャドーITではこの穴がそのまま残ります。

総務省の「テレワークセキュリティガイドライン」第5版は、許可していないハードウェアやソフトウェア、クラウドサービスなどが勝手に利用されるいわゆるシャドーITについて、管理者によるセキュリティ統制が行えなくなり情報漏えいのリスクが増加すると指摘しています。対策として、業務上利用可能なものをルールとして定めて周知し、許可されていないものは事前申請とセキュリティ上の確認を経て許可する運用を示しています（執筆時点の記載）。

生成AIの利用で広がる新しい持ち出し口#

ここ数年でシャドーITの主役に加わったのが、生成AIサービスです。文章の要約や翻訳に業務文書を貼り付ける行為は、本人にとってはツールの利用ですが、情報の流れとしては社外のサービスへの業務データの送信です。入力した内容がサービス側の機械学習に使われる設定であれば、データは応答を得るためだけでなく、モデルの改善という別の目的にも取り込まれます。

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しました。個人情報取扱事業者向けの注意点は二つです。個人情報を含むプロンプトを入力する場合は、特定した利用目的の達成に必要な範囲内であることを十分に確認すること。そして、本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合は個人情報保護法違反となる可能性があるため、サービス提供事業者が入力データを機械学習に利用しないことなどを十分に確認することです。従業員が個人契約の生成AIを業務に使う状態では、この確認を組織として行う余地がそもそもありません。

参考になるのは政府自身のルールです。デジタル庁のデジタル社会推進標準ガイドラインDS-920「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（2026年6月12日改定版）は、不特定多数に提供され約款への同意のみで利用できるクラウドサービス型の生成AIでは、原則として要機密情報を取り扱えないとしています。そのうえで、機密情報を扱わない場合でも利用可能な業務範囲をあらかじめ特定し、申請内容を許可権限者が審査して利用の可否を決め、利用状況を管理することを求めています。禁止ではなく、扱える情報の線引きと申請の導線を先に用意するという組み立ては、民間企業がガイドラインを作るときの考え方としても参考になります。ただしこの文書は政府職員と政府情報システムに向けた規範で、要機密情報の区分や許可権限者といった政府固有の制度を前提にしています。民間で使うときは、自社の情報分類や取引先との契約、個人情報の保護体制へ読み替える作業が要ります。プロンプト経由の情報漏えいという技術面の仕組みは、別記事で扱っています。

あわせて読みたい

プロンプトインジェクションとは。AIエージェント時代の新しい攻撃と防御

統制は可視化から順に積み上げる#

対策の順序を間違えると、効果が出ないだけでなく逆効果になります。実態を知らないまま禁止令を出すと、利用は申告されなくなり、可視化の難度が上がります。技術的なブロックを最初に入れると、業務が止まった部門から抜け道探しが始まります。次の順序で進めます。

技術統制を最後に置いているのは、優先度が低いからではありません。許可するサービスの一覧とルールが決まっていないと、CASBで何を許可し何を止めるかの基準が定まらず、道具だけが空回りするからです。逆に、代替手段とルールが整った後の技術統制は、例外を検知する仕組みとして素直に機能します。ID集約の前提になるアカウント権限の考え方は、最小権限の記事で整理しています。

あわせて読みたい

最小権限の原則（Least Privilege）。なぜ権限を絞ることが最強の防御の一つなのか

ルールを守られるものにする書き方#

ルール化の工程では、条文の厳しさよりも、守れる設計かどうかが結果を分けます。押さえる点は三つです。

一つ目は、禁止と許可の一覧を具体的なサービス名で書くことです。「私的なクラウドサービスの利用を禁ずる」という抽象的な条文は、現場での判断を個人に委ねることになり、判断はいつも業務を優先する側に傾きます。使ってよいもの、申請すれば使えるもの、使えないものの三段階で、名前を挙げて示します。

二つ目は、生成AIについて入力してよい情報の線引きを明記することです。サービス名の許可だけでは足りません。同じサービスでも、公開資料の要約と、顧客名簿を含む文書の処理ではリスクが違います。個人データ、営業秘密、取引先から預かった情報は入力しない、といった情報の種類での線引きを、格付けのルールとそろえて書きます。

三つ目は、例外の出口を残すことです。急ぎの業務でルール外の手段が必要になったとき、申請すれば短時間で判断される導線があれば、無断利用へ流れる量は減ります。ルールの体系をどう三層で作るかは、ポリシー策定の記事で扱っています。

あわせて読みたい

社内セキュリティポリシーの作り方。基本方針・対策基準・実施手順の三層で実効性をつくる

経営層が持つべき論点#

シャドーITの統制は、情報システム部門だけでは完結しません。経営層が判断すべき論点を挙げます。

まず、これは統制の失敗の後始末ではなく、業務インフラへの投資判断です。シャドーITの一覧は、従業員が業務に必要だと感じている機能の需要調査そのものです。公式な代替手段の整備には費用がかかりますが、その費用は漏えい事故の対応費用や、報告義務を果たせないリスクと比べて判断するものです。IPAの「情報セキュリティ10大脅威 2026」の組織編では、内部不正による情報漏えい等が7位、リモートワーク等の環境や仕組みを狙った攻撃が8位に入っています。後者はVPN機器などリモートワーク環境への外部からの攻撃を含む分類で、シャドーITと同義ではありませんが、管理の外にある経路がこうした脅威の通り道になる可能性は考えておく必要があります。

次に、統制の実施率はまだ低いという現実です。IPAが2025年8月に公表した「企業における営業秘密管理に関する実態調査2024」では、回答者全体のうち、営業秘密の社外への不正持出防止策としてコンテンツフィルタによるオンラインストレージなどへのアクセス制限を挙げた割合は16.9%、電子メールの添付ファイルの制限または禁止は18.2%にとどまり、特に何もしていないという回答が28.2%を占めました。この調査は業種と従業員規模で割り付けた回答者を対象とするもので、業界ごとの実施率を示すものではありませんが、クラウドやメールという持ち出し経路への統制が広く行き渡っているとは言えない状況がうかがえます。

最後に、調達リードタイムを経営指標として見ることです。新しいSaaSの利用申請から利用開始までに何日かかっているかを測り、短縮する。これは、シャドーITが生まれる一因を取り除く働きをします。統制を「増やす」議論と同じ比重で、正規ルートを「速くする」議論を置くことが、経営層にしかできない仕事です。

シャドーITと地続きの問題として、正規の権限を持つ内部者による持ち出しの統制があります。あわせて設計すると、出口の管理が一貫します。

あわせて読みたい

内部不正による情報持ち出しを機会と動機の両面から抑える統制の作り方

まとめ#

シャドーITは、従業員の裏切りというより、正規手段の不便さが形になったものと捉えるほうが対策につながります。だからこそ、禁止令や監視の強化から入ると、実態が地下に潜って統制はかえって難しくなります。まず見えるようにし、リスクの高いものから順位を付け、公式の代替を先に差し出し、守れるルールを書き、最後に技術で例外を検知する。この順序で組めば、現場の業務を止めずに、会社が説明できる範囲へ情報の流れを戻していけます。生成AIという新しい入り口が増えた今は、線引きを作り直す良い機会でもあります。