シャドーITがもたらす現実のリスクと、ツール導入が急がれる背景

SaaSの普及にともない、従業員が会社の承認なくクラウドサービスやアプリを業務利用するケース、いわゆるシャドーITは今や多くの企業で常態化しています。Gartnerの調査では、企業が把握しているクラウドサービス数は実際の利用数の1割程度に過ぎないとされており、残り9割はIT部門の管理外にあることになります。

日本国内でも被害事例は後を絶ちません。ある情報通信会社では、従業員が個人契約の外部ストレージサービスを業務で使い続けた結果、約590万件の顧客情報が流出しました。2021年には大学病院の医師が使っていたクラウドストレージのアカウントがフィッシング詐欺に遭い、患者情報が第三者に漏えいする事件も起きています。IPAが毎年公表する「情報セキュリティ10大脅威 2025」でも「内部不正による情報漏えい等」が組織部門の上位に挙がり続けており、シャドーITは「起きるかもしれないリスク」から「すでに起きているリスク」へと性質が変わっています。

こうした状況の中で多くの情シス担当者が直面するのが、「どのツールを選べばシャドーITを管理できるのか分からない」という問いです。CASB、SaaS管理ツール、MDM、EDR、SIEMとカテゴリが多く、自社の課題に合ったものを絞りにくい。本記事では、シャドーITの管理・検出に使えるツールを7種類に整理し、それぞれの機能と得意領域、選定の考え方を情シス担当者向けに解説します。

そもそもシャドーITとは何か？管理ツールが必要な理由

シャドーITとは、企業のIT部門が把握・承認していないデバイス、アプリケーション、クラウドサービスを従業員が業務で使用している状態のことです。代表的なものとしては以下が挙げられます。

• 個人のスマートフォンやPCを業務利用（BYODの延長）
• LINEやWhatsApp、Slackの無料プランを使った社外とのやりとり
• Google DriveやDropboxへの業務データのアップロード
• ChatGPTをはじめとする生成AIサービスへの社内情報の入力
• 部門単位で個別に契約したSaaS（全社的には未承認のもの）

発生する背景はおおむね3つです。SaaSの導入コストが下がったことで部門独自の契約が容易になったこと、リモートワークの浸透でIT部門の目が届きにくくなったこと、承認フローが煩雑で業務スピードに合わないと判断した従業員が自己判断でツールを使い始めること。

ツールによる管理が欠かせない理由も3点あります。目視やヒアリングだけでは全容を把握しきれないこと。現代の企業ではSaaSが数十から数百に及ぶことも珍しくなく、人力での棚卸しに限界があります。次に、リスクの定量化が困難なこと。どのサービスがどの程度のリスクを持ち、何件のアカウントが動いているかを正確に把握するには、ツールなしでは難しいです。そして、継続的なモニタリングが必要なこと。一度棚卸しをしてもSaaS契約はすぐに増えていくため、自動検出と継続監視の仕組みがなければ問題は再発します。

シャドーIT管理ツールの7種類と機能の全体像

シャドーITの管理・検出に使えるツールは、機能と目的によって大きく7つのカテゴリに整理できます。各カテゴリの特性を把握した上で、自社の優先課題に合ったものを選ぶことが出発点です。

以降では各カテゴリの詳細を見ていきます。

CASB（クラウドアクセスセキュリティブローカー）｜ネットワーク側からシャドーITを検出する

CASBはユーザーとクラウドサービスの間に位置し、すべてのクラウドトラフィックを可視化・制御するセキュリティソリューションです。Gartnerが定義した概念で、現在ではMicrosoft、Netskope、Zscalerなどのベンダーが製品を提供しています。シャドーITへの対応という観点では、ネットワークを流れるトラフィックをリアルタイムで監視し、未承認サービスへのアクセスを検出・制御する役割を担います。

CASBの4つのコア機能

CASBが提供する機能は大きく4つに整理できます。

1つ目の可視化では、従業員がどのクラウドサービスを、どのくらいの頻度で、何台のデバイスから使っているかを把握します。2つ目のデータセキュリティでは、機密情報のアップロードや外部共有を検知し、DLPポリシーを適用します。3つ目の脅威防御では、マルウェアの配布に使われているサービスや、不審なログイン行動を検知します。4つ目のコンプライアンスでは、利用中のサービスが自社のセキュリティポリシーや規制要件を満たしているかを評価します。

CASBの検出方法：3つのアプローチ

CASBには検出方法が3種類あり、それぞれ把握できる範囲が異なります。どのアプローチを採るかで、シャドーITへの対応力が大きく変わります。

プロキシ型（インライン型）はトラフィックをリアルタイムで監視・制御でき、未承認サービスへのアクセスをその場でブロックできます。ただし管理対象外デバイスや社外からのアクセスには効きにくい面があります。

APIベース型は承認済みSaaSのAPIと連携し、ファイルの共有状況やアクセス権限を詳細に把握します。Office 365やGoogle Workspaceなど主要サービスとの連携が中心で、シャドーITそのものの検出よりも承認済みサービスのガバナンスに向いています。

ログ分析型はファイアウォールやプロキシのログを解析し、社内から接続されているサービスを洗い出します。CASBの3アプローチの中でシャドーIT検出に最も直結しており、ログを取り込むだけで既存環境に大きな変更を加えずに利用できます。

CASBが向いている組織・向いていない組織

CASBはネットワーク中心のアプローチのため、全従業員が社内ネットワーク経由でアクセスする環境ほど効果が出ます。フルリモートが基本の組織や、VPNを使わず直接SaaSにアクセスするゼロトラスト環境では、エージェント型やAPIベースの補完が必要です。コスト面ではエンタープライズ向け製品が中心のため、中規模以下の企業では費用対効果の試算を先に行うことをおすすめします。

参考記事：IIJ CASBソリューション

参考記事：Netskope（CyberNet）

SaaS管理プラットフォーム（SMP）｜IT部門が使いやすいシャドーIT検出の主力

SaaS管理プラットフォーム（SMP）は、企業が利用しているSaaSアプリケーションを一元管理するツールです。シャドーIT検出に加え、ライセンスの最適化、アカウントのライフサイクル管理、コスト可視化まで対応しており、情シス担当者が最初に検討すべき選択肢のひとつに位置づけられます。専用の大規模インフラが不要で、既存のメールログやSSOログを起点に導入できる点が、CASBとの大きな違いです。

SMPの主な機能

SMPが提供する機能は、シャドーIT検出にとどまらず、SaaS全体のガバナンスを広くカバーします。具体的には以下のとおりです。

• メールヘッダー・SSOログ・APIを通じた利用SaaSの自動検出
• 承認済み・未承認（シャドーIT）のSaaSリスト化とリスクスコアリング
• ライセンス数とアクティブユーザー数の比較によるコスト最適化提案
• 入退社時のアカウント棚卸しと停止の自動化
• セキュリティポリシーへの準拠状況のダッシュボード表示

CASBとSMPはどう使い分けるか

CASBがネットワークレイヤーでのトラフィック監視に強みを持つのに対し、SMPはSaaSアカウント単位のきめ細かい管理を得意とします。「どのサービスが使われているか」という粒度の把握にはCASBが向いており、「誰がどのアカウントを持ちどのくらい使っているか」まで深掘りするにはSMPが補完的な役割を担います。多くの企業では、両者を組み合わせた運用が一般的です。

参考記事：マネーフォワード Admina – シャドーIT検知

MDM/EMM｜デバイスからシャドーITを制御する

MDMおよびEMMは、会社が支給したデバイスや個人所有のデバイスに対してセキュリティポリシーを適用・管理するツールです。スマートフォン・タブレット・PCが対象で、アプリのインストール制限、リモートワイプ、デバイス暗号化の強制などを一元的に行えます。シャドーIT対策の文脈では、デバイスへの勝手なアプリインストールの検出・削除、特定アプリのインストール禁止、業務データと個人データの領域分離といった用途で使われます。

MDMの限界と補完策

MDMはデバイス管理に特化しているため、ブラウザ経由でアクセスするWebベースのSaaSは検出対象外になります。たとえばLINEアプリのインストールを禁止することはできても、ブラウザからLINEのWeb版にアクセスすることは防げません。MDMは単体での完結が難しく、CASBやSMPとセットで組み合わせることで初めてシャドーITを全方位から押さえられる構成になります。

EDR（エンドポイント検出・対応）｜端末上の不審な動作からシャドーITを把握する

EDRは、エンドポイント上での不審な挙動をリアルタイムで検知し、インシデント対応を支援するセキュリティツールです。シャドーIT対策においては、許可されていないアプリケーションの実行や不審なデータ転送の検出に活用できます。たとえば、従業員が個人用クラウドストレージの同期クライアントをPCにインストールして業務ファイルをアップロードしているケースは、EDRのプロセス監視ログで把握できることがあります。

ただしEDRの本来の目的はマルウェア検知とインシデント対応にあります。シャドーIT全体の棚卸しや可視化を目的とするなら、SMPやCASBが主役で、EDRはセキュリティ侵害に発展しうる挙動を重点的に捉える補完ツールとして位置づけるのが実態に即した使い方です。

SIEM（セキュリティ情報・イベント管理）｜ログの統合分析でシャドーITを事後把握する

SIEMは、ファイアウォール・プロキシ・OS・アプリケーションなど複数のシステムから出力されるログを一元収集し、相関分析によって異常を検知するツールです。シャドーIT管理の観点では、「どのIPアドレスへのアクセスが急増しているか」「業務時間外に大量のデータ転送が発生していないか」といった分析で、シャドーITに関連する不審な動作を事後的に把握できます。

SIEMはリアルタイムの制御やサービス単位の可視化には向いていません。あくまで原因追跡と分析のためのツールです。CASBやSMPで検出・制御を行い、SIEMで事後分析・フォレンジックを補う構成が現場では多く見られます。金融・医療・政府系など高度なコンプライアンスが求められる業種では、ログの統合管理と証跡保全の観点からSIEMの導入価値は特に高くなります。

参考記事：SKYSEA Client View – シャドーITのリスク解説

SWG（セキュアウェブゲートウェイ）｜Webアクセス経由のシャドーITを遮断する

SWGは、インターネットへのウェブアクセスを仲介し、フィルタリングポリシーに基づいてアクセスを許可・遮断するセキュリティツールです。シャドーIT対策では、承認されていないクラウドサービスへのアクセスそのものをブロックする予防的な役割を担います。

会社が承認していない個人用クラウドストレージサービスやSNS、コンシューマー向けファイル共有サービスへのアクセスをカテゴリ単位で遮断することが可能です。リモートワーク環境では、SWGをエージェント型で導入することで、VPNを介さない端末に対してもポリシーを適用できます。

SWGによるブロックだけでは「何が使われているか」の可視化には限界があります。SWGは抑止・制御のレイヤーとして位置づけ、CASBやSMPと組み合わせる構成が基本です。

統合IT管理プラットフォーム｜シャドーIT対策をワンプラットフォームで完結する

ここまで紹介した6種類のツールは、それぞれ特定の領域で強みを持つ一方、単体では対応できない範囲があります。CASBはネットワーク監視に優れるがアカウントのライフサイクル管理はできない。SMPはSaaS管理に強いがデバイスには届かない。MDMはデバイスを制御できるがWebベースのサービスには対応しない。複数ツールを個別に導入すると、管理コンソールが分散し、入退社対応などイベント発生時の対処が煩雑になります。

こうした課題に対応するのが、SaaS・デバイス・アクセス権限を一つのプラットフォームで統合管理するアプローチです。シャドーITの検出から、把握したサービスの承認・対処、アカウント管理まで一気通貫で完結できるため、情シスの運用コストが大幅に下がります。

ジョーシスのシャドーIT検出機能

ジョーシスは、SaaSアプリケーション・デバイス・アクセス権限の一元管理を実現するプラットフォームです。シャドーIT検出では、ブラウザ拡張機能やSSOログの分析を通じて、IT部門が把握していないSaaSの利用を自動的に検出します。

主な機能は以下のとおりです。

• ログイン・ブラウザ活動からの未承認SaaS自動検出（SaaS Discovery）
• 検出したサービスのリスクスコア評価と対処状況の管理
• 承認済みSaaSのライセンス数・使用状況の可視化
• 入退社時のアカウント棚卸し・停止の自動化（Access Automation）
• デバイス資産の追跡・管理（Device Management）
• 350以上のSaaSと連携するAPIベースのアクセス権限管理

国内外700社以上が導入しており、Anker Japanでは導入後にITコストを75%削減、Sales Marker社では工数を約50%削減した実績があります。シャドーITの検出から、把握したサービスの承認・拒否判断、アカウント管理まで一つの画面で完結する点が情シス担当者から評価されています。

関連記事：シャドーIT検出の5つの方法｜情シス向け手順とツール比較

ジョーシスの機能を5分で確認する

SaaS・デバイス・アクセス権限を一元管理するジョーシスのプラットフォームをまずは資料でご確認いただけます。

資料をダウンロードする（無料）

ツール選定の基準｜自社課題から逆引きする考え方

ツール選定で最初にすべきことは、自社が今どの課題を優先して解決したいかを明確にすることです。7種類すべてを導入する必要はなく、課題から逆引きしてカテゴリを絞り込むことが、費用対効果の高い選定につながります。

課題別のツール選定マップ

課題1「どのSaaSが使われているか把握できていない」

最初の一手はSaaS管理プラットフォームです。メールログやSSOログを起点に利用中のSaaSを自動検出でき、シャドーITの全体像を可視化することから始められます。ネットワーク監視の精度を高めたい場合はCASBを補完的に追加します。

課題2「未承認サービスへのアクセスをブロックしたい」

SWGが最もダイレクトな解決策です。カテゴリ単位でのブロックが可能で、遮断のログも残ります。CASBのプロキシ型機能でも同様の制御ができます。

課題3「スマートフォンやBYOD端末の管理ができていない」

MDM/EMMが中心になります。端末へのポリシー適用、アプリ管理、リモートワイプまで対応します。

課題4「入退社時のアカウント管理が属人的になっている」

SaaS管理プラットフォームまたは統合IT管理プラットフォームが適します。複数のSaaSにまたがるアカウント停止を自動化したい場合、APIで各サービスと連携する統合プラットフォームが最も効率的です。

課題5「コンプライアンス対応や監査のためにログを統合したい」

SIEMが核になります。既存のセキュリティツールからログを集約し、監査証跡を一元保持します。

課題6「リソースが限られており、できるだけ少ないツールで対応したい」

統合IT管理プラットフォームが費用対効果の高い選択肢です。SaaS管理・デバイス管理・アクセス権限管理を一つで対応できます。

ツール選定時に確認すべき5つのポイント

カテゴリを絞り込んだあと、具体的な製品の評価では以下の5点を確認してください。

1. 検出精度：自社の環境（オンプレ・クラウド・ハイブリッド）に対して、どの程度の精度でシャドーITを検出できるか
2. 既存環境との連携：現在使用しているMicrosoft 365やGoogle Workspaceとの連携がどの程度スムーズか
3. 運用コスト：ライセンス費用に加え、設定・運用・更新にかかる情シスの工数を総合的に試算する
4. スケーラビリティ：従業員数やSaaS数の増加に対してコストと機能が柔軟に対応できるか
5. サポート体制：日本語サポートの質、導入支援の充実度、ベンダーの安定性

シャドーIT対策の進め方｜ツール導入前後のステップ

シャドーIT対策でよくある失敗は、ツールを導入しただけで対策が完了したと思ってしまうことです。ツールは可視化と制御を担いますが、従業員がなぜ未承認サービスを使うのかという根本原因が解消されていなければ、問題は形を変えて繰り返されます。ツールを軸に置きながら、組織的なアプローチをセットで進めることが実効的な対策になります。

実践的な4ステップ

Step1 現状の棚卸し

まず社内でどのSaaSが使われているかを把握します。ツール導入前でも、アンケートや部門ヒアリング、SSO経由のログを活用することで一定の実態をつかめます。この段階で、なぜそのサービスが使われているのかという背景も収集しておくと、次のポリシー策定に活きます。

Step2 ポリシーの策定と周知

把握したSaaSを「承認」「条件付き承認」「未承認」に分類し、利用ガイドラインとして明文化します。禁止するだけでなく、業務上必要なサービスの申請方法をあわせて整備することで、従業員を正規の申請ルートに誘導できます。

Step3 ツールによる継続モニタリング体制の構築

棚卸しとポリシー策定を終えたら、ツールによる自動検出・継続監視の仕組みを稼動させます。新規のシャドーITが生まれた際にアラートが上がり、対応ワークフローが回せる状態を整えます。

Step4 定期レビューと従業員との対話

四半期ごとに未承認サービスリストを見直し、需要の高いサービスについては承認プロセスを経て正規化することも選択肢に入れてください。使いたいサービスを申請できる文化を作ることが、長期的なシャドーIT抑制につながります。

参考記事：シャドーIT対策完全ガイド（Asana）

シャドーITの現状を確認したい方へ

ジョーシスのデモでは、実際のシャドーIT検出画面や、未承認SaaSの可視化フローをご覧いただけます。

デモを予約する（無料）

まとめ｜シャドーIT管理ツールの選び方

シャドーIT管理に使えるツールは7種類あり、それぞれ検出できる領域と得意な用途が異なります。自社の課題から逆引きしてカテゴリを絞り込み、運用コストと連携のしやすさを比較した上で選定することが、失敗しない進め方です。

整理すると、次のようになります。

• シャドーIT全体の可視化を優先するなら、SaaS管理プラットフォームから始める
• ネットワーク経由の検出・制御まで求めるなら、CASBを追加する
• デバイス管理が課題なら、MDM/EMMを組み合わせる
• SaaS・デバイス・アクセス権限を一括で管理したいなら、統合IT管理プラットフォームが最短経路
• ツール導入と並行して、ポリシー整備・従業員教育・定期レビューを進めることが長期的な解決策

ジョーシスは、SaaSの自動検出からデバイス管理、入退社時のアカウント自動化まで一つのプラットフォームで対応する統合IT管理ツールです。シャドーIT対策の第一歩として、プラットフォームの全体像を資料でご確認ください。

ジョーシスの資料をダウンロードする（無料）

関連記事：シャドーITとは？発生原因・リスクと対策、具体事例を解説

参考記事：シャドーIT対策完全ガイド | Asana

参考記事：シャドーITとは？3つのリスクとツールを活用した対策方法を解説 | NRI aslead