シャドーITとは何か

シャドーITとは、企業や組織が正式に許可・管理していないデバイス、アプリケーション、クラウドサービスを従業員が業務に使用している状態です。IT部門の管理の「影（シャドー）」に存在するITという意味から、この呼称が定着しました。

個人用のGoogleドライブに業務ファイルを保存する、LINEで社内連絡をやりとりする、会社の許可なく翻訳AIに社内文書を貼り付けるといった行為は、すべてシャドーITに該当します。従業員自身は便利だから、効率が上がるからという理由で使い始めるケースが大半です。悪意はないものの、そのツールが重大なセキュリティインシデントの起点になることがあります。

Assured株式会社が2024年に実施した調査では、従業員数1,000名以上の大企業の65.6%がシャドーIT対策を実施していないことが明らかになりました。1社あたり平均207のクラウドサービスが利用されており、19%の企業では500サービス以上を使っているとされています。IT部門が把握できていないサービスがその何倍も存在すると考えると、リスクの規模がわかります。

本記事では、実際に起きたシャドーITによるインシデント事例を9件取り上げ、それぞれの原因・被害・教訓を整理します。自組織のどこにリスクが潜んでいるかを点検する材料として活用してください。

Josysの資料で、SaaS・デバイスの一元管理を把握する シャドーIT対策の第一歩は、利用中のSaaSとデバイスの可視化です。Josysの機能概要を5分で確認できる資料を無料で配布しています。 資料を無料でダウンロードする

シャドーITが引き起こす主なリスク

シャドーITのリスクは一種類ではありません。情報漏洩・マルウェア感染・コンプライアンス違反・ガバナンスの崩壊と、管理の穴から生まれる問題は多岐にわたります。インシデント事例を見る前に、リスクの全体像を整理しておきます。

情報漏洩リスク

IT部門が管理していないクラウドサービスやメールアカウントには、企業のセキュリティポリシーが適用されません。アクセス制御が不十分なサービスに機密情報が保存されると、外部からの不正アクセスや設定ミスによる公開状態が発生します。クラウドストレージの公開範囲を誤って設定したまま長期間気づかないケースは、被害が広がりやすい典型的なパターンです。

マルウェア・ランサムウェア感染リスク

私物デバイスを社内ネットワークに接続することで、デバイスに潜んでいたマルウェアが社内システム全体に拡散する可能性があります。IT部門が管理するデバイスであれば、ウイルス対策ソフトのバージョンやセキュリティパッチの適用状況を一元確認できます。しかし私物デバイスは管理外のため、感染の入り口になりやすい状況が続きます。

法令違反・コンプライアンスリスク

個人情報保護法やGDPR、業界固有の規制に対応するには、どのサービスに誰がアクセスしているか、データがどこに保存されているかを把握していなければなりません。シャドーITが横行する環境では、ログ取得やアクセス制御が機能せず、監査時に重大な指摘事項となります。

ガバナンス・コスト管理リスク

IT部門の管理下にないサービスは、契約の重複やライセンスの無駄が発生しても気づきにくいです。退職した従業員のアカウントが放置される問題も同様です。部門ごとにバラバラなサービスが乱立すると、データが分散してシステム間の連携も複雑化します。

シャドーITによる事例9選

シャドーITが原因で起きた実際のインシデント事例を、業種・事象の種類ごとに整理しました。それぞれの事例から、どのような状況でリスクが顕在化するかを確認してください。

事例1：静岡県島田市農林課　フリーメールへの不正アクセスで2,446件の個人情報が流出

2018年9月、静岡県島田市農林課が業務禁止のフリーメールサービスを使用し、国内外から不正アクセスを受け、2,446件の個人情報が流出しました。自治体によるシャドーITインシデントの代表的な事例です。

農林課では2015年10月頃から、スキャナで読み取った書類や写真データをフリーメールで別の業務用PCに転送する運用が定着していました。市の内部規程でフリーメールの業務利用は原則禁止とされていましたが、現場の便宜から長期間にわたって黙認されていました。

2018年9月17日、不正アクセスを示す警告メールを受信してアクセスログを確認したところ、米国・中国・台湾からのアクセスが確認されました。流出した可能性のある情報は、運転免許証番号、住所・氏名・生年月日・電話番号を含む農家情報など2,446件にのぼりました。

便利だからという理由で始まった小さなルール違反が、長期間積み重なることで重大なインシデントに発展しています。現場レベルでのルール形骸化は、IT部門が気づかないシャドーになりやすく、定期的な利用状況の棚卸しが必要です。

参考記事：業務使用が禁止されていたフリーメールへ不正アクセス、添付ファイルの個人情報が流出（島田市）

事例2：岡山大学病院　個人用クラウドアカウントのフィッシング被害で患者情報270人分が流出

2021年、岡山大学病院で患者約270人分の個人情報が流出するインシデントが発生しました。医師が個人で契約したクラウドサービスに患者情報を保存していたところ、そのアカウントのID・パスワードがフィッシング詐欺によって窃取されたことが原因です。

医師は業務効率のために個人のクラウドストレージを使っていましたが、病院のIT部門が管理していないため、多要素認証の設定状況や不正アクセスの検知ができない状態でした。パスワードを奪われてもアラートが上がらず、しばらくの間、外部から患者情報にアクセスできる状態が続きました。

医療機関は要配慮個人情報を扱います。シャドーITによってその情報が管理の外に出ると、個人情報保護法上の安全管理措置の観点から深刻な問題となります。

参考記事：岡山大学病院 患者約270人分の個人情報が漏えい

事例3：某国内病院　看護師の個人Googleアカウントで患者情報がウェブ公開状態に

2021年1月、国内の病院で、看護師が業務連絡のために個人のGoogleアカウントでGoogleグループを開設し、閲覧設定がウェブ上のすべてのユーザーに公開された状態になっていたことが発覚しました。

グループには患者に関する業務連絡のやりとりが含まれており、意図せず患者情報がインターネット上に公開される状態が続いていました。病院のIT部門はグループの存在自体を把握しておらず、発覚するまでの間、誰でもアクセスできる状態が続いていたとみられています。

悪意がないにもかかわらずインシデントが起きている点が、この事例の本質です。看護師は業務を円滑に進めるために使い慣れたGoogleのサービスを使っただけです。普段から個人利用しているサービスをそのまま業務に持ち込む行為が、シャドーITの最も発生しやすいパターンの一つといえます。

事例4：某情報通信会社　外部ストレージサービスの無許可利用で約590万件の顧客情報が流出

某情報通信会社で、従業員が個人契約の外部ストレージサービスを業務に使用したことで、約590万件にのぼる顧客情報が流出しました。情報通信企業として規模感の大きさが際立つ事例です。

特に深刻なのは、外部ストレージの利用実態をIT部門が把握できていなかった点です。利用状況が可視化されていなければ、不審な動きがあっても検知できません。個人契約のサービスは退職後もアクセスできる状態が続く可能性があり、退職者によるアクセスを遮断するタイミングもつかめません。

参考記事：シャドーITから約590万件の顧客情報流出：某情報通信会社の例

事例5：国際的製薬企業　業務委託先が私物PCを使用して医療従事者73万人分の個人情報が漏洩

2024年7月、国際的な製薬企業で医療従事者73万人分の個人情報が漏洩するインシデントが発生しました。海外の業務委託コンサルタントが個人ノートPCを無許可で業務に使用していたことが原因です。

委託先コンサルタントの個人PCには、企業が求めるセキュリティ要件が整っていませんでした。エンドポイントセキュリティの管理が及ばない環境で業務データが処理されたことで、大量の個人情報が外部に漏れるリスクにさらされました。

シャドーITの問題は自社従業員に限りません。業務委託先・外部パートナー・フリーランスなど、社外のステークホルダーが業務で使うデバイスやサービスも、適切な管理が必要です。サプライチェーン全体でのIT管理が求められていることを示す事例です。

事例6：地方自治体　庁内WiFiに私物スマートフォンを接続してマルウェアが拡散

ある地方自治体で、職員が私物スマートフォンを庁内の無線LANに接続したことで、スマートフォンに潜んでいたマルウェアが庁内ネットワーク全体に拡散するインシデントが起きました。

職員は自身のスマートフォンがマルウェアに感染していることに気づかないまま、業務効率のために庁内WiFiを使っていました。MDMが適用されていない私物デバイスでは、マルウェアの検出や隔離をリアルタイムに行えません。

BYODポリシーが整備されていない環境で起きやすい問題の典型です。私物デバイスの業務利用を一律に禁止するのが難しい場合は、接続できるネットワークをセグメント化する、MDMを適用するといった技術的な措置が必要になります。

事例7：サービス業大手　退職者のSaaSアカウントが残存してデータが持ち出される

あるサービス業の大企業で、退職した元従業員のSaaSアカウントが削除されないまま残存し、退職後に元従業員がそのアカウントを使って顧客情報や社内文書にアクセスし持ち出すインシデントが発生しました。

IT部門が管理しているシステムであれば、退職手続きと連動してアカウントを停止・削除するフローを整備できます。しかし各部門が個別に契約・導入したSaaSは、IT部門の管理台帳に載っていないため、退職処理の漏れが生じやすくなります。

Assuredの2024年調査では、大企業1社あたり平均207のクラウドサービスを利用しているというデータがあります。これだけの数を手動で管理するのは現実的ではなく、サービスの棚卸しと退職処理の自動化が求められます。

事例8：製造業　翻訳AIに設計図・仕様書を入力して情報が学習データとして流出

2023年以降、生成AIの普及に伴い、従業員が無許可の翻訳AIや文章生成AIに社内の機密情報を入力するケースが増えています。製造業では、エンジニアが設計図や仕様書を外部の翻訳AIに入力したことで、その内容が学習データとして利用される可能性が生じた事例が複数報告されています。

生成AIサービスを無料プランで利用した場合、入力データがサービス改善のための学習に使用されることを利用規約で認めているものがあります。設計図の一部や技術仕様が含まれたメールをそのままAIに貼り付けるといった行為も、十分リスクになります。

Josysが実施した2024年調査では、79.8%の企業がシャドーAIの利用を把握できていないと回答しています。AIツールは従来のSaaSと異なり、無料で即日利用できるため、シャドーIT化のスピードが非常に速い点に注意が必要です。

事例9：FinTech企業　未申請のAPIキーが漏洩してクラウドリソースが不正利用される

金融・FinTech系の企業で、開発部門のエンジニアが社内ルールを経由せず個人でクラウドサービスのAPIキーを発行・管理していたところ、そのキーが漏洩し、外部からクラウドリソースを大量に利用されて高額の不正請求が発生した事例があります。

エンジニアは開発スピードを上げるために手続きを省略し、個人のGitHubリポジトリにAPIキーを含むコードをコミットしてしまいました。パブリックリポジトリに誤ってコミットされたAPIキーは、数分以内にスキャンされて悪用されることが知られています。

開発環境におけるシャドーITは、IT部門よりもエンジニア組織内で起きやすい傾向があります。ガバナンスより開発速度を優先する文化が根付いている場合、こうしたリスクが表面化しやすくなります。

シャドーITの可視化から始める、Josysの無料デモ 自社に何のSaaSが使われているか把握できていますか？Josysは利用中のSaaSとデバイスを一元管理し、未承認ツールの検出・アカウントのライフサイクル管理を自動化します。実際の動作を無料デモでご確認ください。 無料デモを申し込む

事例から見えるシャドーIT発生の共通パターン

9つの事例を振り返ると、業種や被害規模にかかわらず、シャドーITが発生・拡大するパターンにはいくつかの共通点があります。自組織に当てはまるものがないか確認してみてください。

パターン1：申請・承認プロセスが煩雑で現場がバイパスする

IT部門への申請が面倒、時間がかかる、却下されることが多いという状況では、現場は承認を経ずに使い始めることを選びます。クラウドサービスはクレジットカード1枚で即日利用できるため、承認プロセスが形骸化しやすい環境が整っています。

よく使われるサービスをあらかじめ承認済みリストに掲載するホワイトリスト方式は、現場の利便性とガバナンスのバランスをとる現実的なアプローチです。申請フローをシンプルにすることと合わせて検討してください。

パターン2：リモートワーク環境で管理の目が届かない

オフィス勤務では見えていた「隣の同僚がどんなツールを使っているか」が、リモートワーク環境では見えなくなります。自宅のPCで業務をするために個人のクラウドを使う、家族共用PCで会社のデータを扱うといったケースが増え、シャドーITのリスクが拡大しました。

エンドポイント管理ツールやSaaSの利用状況を可視化するツールを活用することで、リモート環境下でも管理の抜け穴を塞ぐことができます。

パターン3：委託先・外部パートナーまで管理が及んでいない

事例5の製薬企業にあったように、業務委託先のデバイスやサービス利用には自社のルールが直接適用されません。委託先との契約にセキュリティ要件を明記し、入構管理・デバイス管理・ネットワークアクセスのルールを文書化しておくことが必要です。

パターン4：退職・異動処理が手動でアカウントが残存する

従業員が退職・異動しても、シャドーITとして使われていたSaaSのアカウントはIT部門が把握していないため削除されません。退職者が引き続きアクセスできる状態が続くことは、不正な情報持ち出しの温床になります。

IDPとSaaSを連携させた自動プロビジョニング・デプロビジョニングの仕組みを構築することで、このリスクをシステム的に排除できます。

パターン5：ルールはあるが教育・周知が追いついていない

フリーメールの業務利用は禁止というルールを定めていても、なぜ禁止なのか・違反するとどうなるかを従業員が理解していなければ、ルールは形だけになります。セキュリティ研修を年1回の形式的な実施に留めず、具体的なインシデント事例をもとにした実践的な内容にアップデートしていく必要があります。

情シスが取り組むべきシャドーIT対策

事例と共通パターンを踏まえ、情シスが着手すべき具体的な対策を整理します。一度にすべてを整備する必要はありません。自組織の課題に照らして優先度の高い項目から実装してください。

対策1：SaaS利用状況の可視化

シャドーIT対策の起点は現状把握です。CASBやSaaS管理ツールを活用し、社内で使われているSaaSをすべて洗い出します。ファイアウォールやプロキシのログを解析すれば、IT部門が把握していないアクセス先を検出できます。

把握したサービスは「承認済み」「条件付き承認」「禁止」の3カテゴリに分類して従業員に周知します。一律の禁止ではなく、代替手段を同時に示すことが定着のポイントです。

対策2：申請・承認フローのシンプル化

現場がシャドーITに頼る背景には、公式ルートの使いにくさがあります。SaaSの利用申請から承認まで数日以内に完結できる体制を整えると、現場が正規のルートを選ぶ動機付けになります。セルフサービスポータルで従業員が申請できる仕組みを整備することも有効です。

対策3：エンドポイント管理の徹底

MDMやEDRを導入し、業務で使うデバイスの状態を一元管理します。私物デバイスの業務利用を認める場合は、MDMのプロファイルを適用させる、業務用と個人用のデータ領域を分離するといった措置が必要です。

対策4：アカウントライフサイクルの自動化

IDaaSとSaaSを連携させたプロビジョニング・デプロビジョニングの自動化は、退職者アカウントの残存問題を解決する最も確実な方法です。SCIMプロトコルに対応したSaaSを中心にシステムを整備し、入退社・異動のタイミングでアカウントが自動更新される仕組みを構築します。

対策5：教育・啓発の継続的な実施

技術的な対策と並行して、従業員のセキュリティ意識を高める教育が欠かせません。なぜシャドーITが危険なのかを、抽象的な説明ではなく実際のインシデント事例を使って伝えてください。この記事で紹介したような事例を社内研修で共有するだけでも、従業員の行動変容につながります。

対策6：生成AIの利用ガイドライン整備

個人が無料で使えるAIツールへの業務データ入力を防ぐには、どのAIツールを何の目的に使ってよいかを明確にした利用ガイドラインが必要です。禁止するだけでなく、企業として承認した安全なAIツールを提供することで、従業員が公式のツールを選ぶ環境をつくれます。

参考記事：2024年最新シャドーIT対策実態調査レポート

シャドーITが起きやすい組織のセルフチェック

自組織にシャドーITが発生しやすい状況がないか、以下の項目で確認してみてください。

• 利用中のSaaSを網羅的に把握するリストが存在しない
• SaaSの利用申請フローが整備されていない、または承認まで1週間以上かかる
• 退職・異動時のアカウント削除フローが手動で管理されている
• MDMが未導入、または私物デバイスへの適用ルールがない
• 生成AIツールの利用ガイドラインがない
• 業務委託先のデバイス・ツール利用ポリシーが契約書に明記されていない
• セキュリティ研修が年1回の形式的な実施に留まっている

3つ以上当てはまる場合、シャドーITが既に発生している可能性があります。特に「SaaSのリストがない」「申請フローがない」の2点は、他のすべてのリスクに影響するため、最優先で整備することを検討してください。

JosysによるシャドーIT対策

Josysは、SaaS管理とデバイス管理を統合した情報システム部門向けのクラウドサービスです。シャドーIT対策に直結する機能として、以下を提供しています。

SaaSの一元管理・可視化

組織内で利用されているSaaSを一元管理する台帳機能を備えています。IT部門が把握していないサービスの検出を支援し、承認済み・未承認のサービスを分類・管理できます。

アカウントのライフサイクル管理

入社・退職・異動のタイミングに合わせて、SaaSアカウントのプロビジョニング・デプロビジョニングを自動化します。手動管理によるアカウント残存のリスクをシステム的に排除します。

デバイス管理との統合

SaaS管理とデバイス管理を統合したダッシュボードで、誰がどのデバイスでどのサービスにアクセスしているかを可視化します。管理の盲点となりやすいSaaSとデバイスの組み合わせを把握しやすくなります。

まずは5分でJosysの概要をご確認ください シャドーIT対策の第一歩は現状の把握です。Josysが提供するSaaS管理・デバイス管理・アカウント管理の機能を、5分で確認できる資料を無料で配布しています。自社の管理体制の見直しにご活用ください。 資料を無料でダウンロードする　／　デモで動作を確認したい方はこちら

まとめ

シャドーITによるインシデントは、悪意ある従業員だけが起こすものではありません。今回紹介した9件の事例のほとんどが、便利だから・効率が上がるからという理由で使い始めたツールをきっかけにしています。

シャドーITがリスクになる根本的な理由は、IT部門が管理できていないという一点にあります。管理できていなければ、不正アクセスがあっても検知できず、退職者のアカウントが残存していても気づかず、機密情報がどこに保存されているかも追えません。

対策の優先順位は、SaaSとデバイスの可視化から始まります。現状を把握することなく、教育もルール整備も絵に描いた餅になります。まず自組織の利用実態を把握するところから着手してください。

関連記事：シャドーITとは？発生原因・リスクと対策、具体事例を解説

関連記事：シャドーIT対策の完全ガイド｜情シスが取るべき5つの施策と実践手順

関連記事：シャドーITのリスク6選｜情報漏洩・コンプライアンス違反から退職者問題まで解説

参考記事：Assured「2024年最新シャドーIT対策実態調査レポート」

参考記事：ガートナー「デジタル・トランスフォーメーションの取り組みにおけるシャドーITの現状」2024年

参考記事：トレンドマイクロ「シャドーITによる情報漏洩事例や対策方法を紹介」

‍