はじめに

「棚卸しをしたら、把握していないSaaSが山積みになっていた」——こうした経験をお持ちの情シス担当者は少なくありません。個別のツールを禁止するだけでは問題は解決せず、しばらくすれば別のシャドーITが生まれます。なぜなら、そもそもシャドーITが生まれる「原因」に手をつけていないからです。

本記事では、シャドーITが発生する構造的な原因を3つの軸で整理し、情シスが実践できる防止策を具体的に解説します。「また同じ問題が起きた」というループから抜け出すためのヒントとして活用してください。

シャドーITとは何か：定義と現状

シャドーITとは、企業が公式に承認・管理していないデバイス、クラウドサービス、アプリケーションを従業員が業務に使用することを指します。IT部門の監視が届かない「影の領域」で使われることから、この名称がつきました。

代表的な例として、以下が挙げられます。

• 個人スマートフォンやPCを業務に使用する（BYOD）
• 無料のクラウドストレージ（Google ドライブ、Dropboxなど）に業務データを保存する
• 未承認のチャットアプリ（LINEなど）で社外とやり取りする
• 情シスの審査を経ずにSaaSを部門単独で契約する
• 生成AIツール（ChatGPTなど）に業務情報を入力して活用する

シャドーITの現状：数字が示す広がり

Assuredが2024年に実施した調査によると、回答企業の65.6%がシャドーIT対策を行っていないことが判明しています。従業員数1,000名以上の大企業では、1社あたり平均207のクラウドサービスを利用しており、うち52.3%が100サービス以上を利用しています。

2025年の調査では、大企業の約3割でシャドーITの存在が把握されており、そのうち9割以上がセキュリティリスクを認識しながらも十分な対策が講じられていない実態が明らかになっています。

ガートナーの調査でも、国内企業の43.3%で非IT部門がクラウドサービスの選定・交渉を主導しており、情シスの管理外でのIT利用が広く常態化していることがわかります。

シャドーITは一部の従業員の問題ではなく、組織全体にわたる構造的な課題です。この認識を持ったうえで、発生原因を掘り下げていきましょう。

シャドーITが発生する3つの構造的原因

シャドーITが生まれる背景には、従業員個人の判断だけでなく、組織と環境が複合的に作用しています。主な構造的原因は3つです。

原因1：現場のニーズと公式ツールのギャップ

シャドーITが発生する最も根本的な理由は、従業員が「使いたいツール」と会社が「提供しているツール」の間にある利便性のギャップです。

業務効率を上げたいという動機は、従業員にとって当然のものです。しかし、公式ツールが古く操作性が低い、添付できるファイルサイズに上限がある、モバイルで使えないといった制約があると、「あのサービスを使えばすぐ解決する」という発想が生まれます。

重要なのは、この行動の多くが「ルールを破ろう」という悪意からではなく、「もっとうまく仕事をしたい」というポジティブな動機から来ているという点です。そのため、禁止令を出しても同様の動機を持つ別のシャドーITが繰り返し生まれます。

現場の不満が情シスに届かないまま蓄積し、気づけばシャドーITが定着しているのは、このガップが放置されてきた結果です。

主な要因

• 承認済みツールの機能が業務実態に追いついていない（ファイルサイズ制限、モバイル非対応など）
• 操作性・UIが現場ニーズに合っていない
• 新ツールの承認・展開までに時間がかかりすぎる
• 現場の声がIT部門に届く仕組みがない

原因2：情シスの管理体制・申請フローの問題

「申請が面倒だから、とりあえず使い始めた」——これはシャドーITを生む典型的なパターンです。申請フローが複雑で、承認まで1週間以上かかる環境では、急いでいる現場は待てません。

「後で申請する」という気持ちで使い始め、そのまま申請されないまま定着する。このサイクルが繰り返されることで、組織全体にシャドーITが広がっていきます。

また、セキュリティポリシーが文書化されていても現場に浸透していない場合、「これはダメなのか？」という判断基準が曖昧になります。「周りも使っているから大丈夫だろう」という認識で利用が広がるのも、管理体制の問題が招く結果です。

主な要因

• IT申請フローが煩雑で、承認リードタイムが長い
• セキュリティポリシーが文書化されているが現場に浸透していない
• IT部門と現場のコミュニケーションが不足している
• 情シスの人員が少なく、新規ツール評価が後回しになる
• ルール違反への啓発・フォローアップが不十分

原因3：クラウド・SaaSの普及による「導入障壁の消滅」

かつてのITシステムは、サーバーや専用ソフトウェアの調達が必要で、IT部門を介さなければ導入できませんでした。しかし現在のSaaSは、メールアドレスとクレジットカードがあれば数分で業務利用を開始できます。

この「技術的導入障壁の消滅」が、シャドーITを構造的に生みやすい環境を作っています。特に生成AIツールは、個人利用と業務利用の境界線が曖昧で、「少し試しただけ」のつもりが日常業務に組み込まれていくケースが多く見られます。

テレワークの普及もこの傾向を加速しています。オフィス環境ではある程度可視化できたIT利用が、自宅環境ではIT部門の目が届かなくなります。VPNを経由しない通信や個人デバイスからの業務アクセスは、把握が特に難しい領域です。

主な要因

• SaaSは無料プラン・トライアルが充実しており試しやすい
• クレジットカードで即座に契約でき、IT部門を介さない
• テレワークによりIT管理の可視性が低下している
• スマートフォンアプリは個人と業務の境界が曖昧
• 生成AIツールの急速な普及で「使っている意識すら薄い」ケースが増えている

現場で起きる8つのシャドーIT発生シナリオ

構造的な原因を踏まえたうえで、現場で実際にシャドーITが生まれる具体的な場面を8つ整理します。自社の状況と照らし合わせてみてください。

シナリオ1：承認ツールへの不満から使い始める

会社が提供するファイル共有システムが大容量データに対応していない、共同編集ができないといった不満から、Dropboxや Googleドキュメントを個人判断で使い始めるパターンです。最初は「一時的に」のつもりが、便利なためそのまま定着します。

シナリオ2：申請の煩雑さを避けるために無断利用

新しいプロジェクト管理ツールを使いたいと思ったとき、申請書の記入・上長決裁・IT部門への提出というステップが必要だとわかると、多くの現場担当者は「後でまとめて申請しよう」と後回しにします。その後申請がされないまま、チーム全体での利用が広がることがあります。

シナリオ3：セキュリティルールを知らないまま利用

「このサービスを使ってはいけない」というルールが社内に存在していても、それを知らない従業員が利用を始めるケースです。入社時のオリエンテーションで一度説明されただけでは、日常業務では意識されなくなることがあります。

シナリオ4：部門長が黙認・意図せず承認

「業務効率が上がるなら使っていい」という部門長の判断が、部門全体でのシャドーIT利用を生む場合があります。部門長自身はシャドーITという認識がなく、IT部門への連絡も行われません。IT部門が問題を把握するタイミングが遅れ、リスクが拡大しやすいパターンです。

シナリオ5：プライベートツールを業務に転用

日常的に使っているLINEでの業務連絡、Googleフォームでの社内アンケート作成、Dropboxへの業務ファイル保存——「いつも使っているから」という感覚で始まるため、本人がシャドーITという認識を持っていないことが多く、発見が遅れます。

シナリオ6：テレワーク環境での「見えない利用」

在宅勤務中は社内ネットワークへの接続が不要なサービスを、個人デバイスから利用するケースです。オフィスでは気づかれていた利用が、テレワーク移行後にIT部門の監視外となり、問題が大きくなってから発覚することがあります。

シナリオ7：ベンダーからの直接アプローチ

SaaS企業の営業担当が現場部門に「まず無料で試してください」と直接アプローチし、現場が独自判断でチーム利用を始めるパターンです。個人のクレジットカードで決済が行われているケースも多く、経費精算のタイミングまでIT部門が気づかないこともあります。

シナリオ8：生成AIへの業務情報の入力

「競合他社も活用しているから遅れたくない」という動機から、ChatGPTをはじめとする生成AIに業務情報を入力するケースが急増しています。入力データが学習に使われる可能性や情報漏洩のリスクがあるにもかかわらず、「使っている」という意識が薄く、ルール整備が後手に回りやすい領域です。

シャドーITが引き起こす4つのリスク

シャドーITの原因を理解したうえで、実際に発生した際のリスクも整理しておきます。

リスク1：情報漏洩・データ流出

無料プランのクラウドサービスでは、アクセス権限の管理機能が制限されているものが多く、共有リンクの設定ミスにより社外から業務データにアクセスできる状態になることがあります。退職した従業員が個人アカウントで業務データを持ち出すケースも、情報漏洩の典型例です。

リスク2：マルウェア感染・不正アクセス

IT部門が管理していない環境では、セキュリティパッチの適用状況やウイルス対策ソフトの状態を把握できません。脆弱性のあるデバイスやアプリを介したマルウェア感染が、社内ネットワーク全体に波及するリスクがあります。

リスク3：コンプライアンス違反

個人情報保護法や業界規制への対応が求められる企業では、管理外サービスへのデータ保存がコンプライアンス違反になり得ます。医療・金融・行政など規制の厳しい業界では、特に影響が大きくなります。

リスク4：ITコストの肥大化とガバナンスの崩壊

シャドーITが蔓延すると、同じ機能のサービスに重複して費用が発生したり、退職者アカウントが放置されてライセンス費用が無駄に発生し続けたりします。把握できていないサービスが増えるほど、ITガバナンスの盲点が広がっていきます。

情シスが取り組む6つの根本的な防止策

シャドーITの原因を踏まえると、「禁止・ブロック」だけでは対策として不十分だということがわかります。根本にある問題に対処するために、以下の6つの対策を組み合わせることが重要です。

対策1：現場ニーズを定期的に把握する仕組みを作る

シャドーITが生まれる最大の要因は「現場のニーズと公式ツールのギャップ」です。情シスが能動的に現場の困りごとを把握する仕組みを持つことが先決です。

四半期ごとの業務ツールアンケートや部門別のヒアリングセッションを設けることで、「使いたいけど申請しにくい」という声を早期に拾えます。現場のニーズに基づいて承認ツールを拡充していくことで、シャドーITを生む動機そのものを減らせます。

Josysの資料をダウンロードして、SaaS管理の全体像を確認する

対策2：申請フローを簡素化してスピードを上げる

「申請が面倒だから使ってしまう」という行動を防ぐには、申請プロセス自体を軽くすることが効果的です。申請フォームの項目を最小化する、審査期間の目標値（例：3営業日以内に一次回答）を設定する、よく使われるカテゴリのツールはプリ承認リストを作成して即時利用可能にする——こうした施策を重ねることで、「ちゃんと申請して使う」という文化が定着しやすくなります。

対策3：セキュリティ教育を継続的に行う

ルールの存在を知らないまま広がるシャドーITを防ぐには、一度の説明ではなく継続的な啓発が必要です。半期ごとの確認テスト、具体的なリスク事例の共有（社内チャットや社内報）、「OK/NGの判断基準」をまとめた資料の配布が効果的です。

特にChatGPTなどの生成AIツールについては、「何を入力してよいか、してはいけないか」を明示的に定めることが求められます。抽象的なルールではなく、具体的な行動指針として示すことがポイントです。

対策4：SaaSの利用状況を可視化して定期的に棚卸しする

現状を把握しなければ適切な対策は立てられません。まず自社でどのSaaSが使われているかを可視化することが第一歩です。

‍

• ネットワークログの分析：通信先のドメインを確認し、未承認サービスへの接続を把握する
• 経費精算データの確認：クレジットカード明細からSaaS課金を検出する
• SSOログの確認：IDプロバイダー経由のアクセス状況を把握する
• SaaS管理ツールの導入：利用状況を自動で収集・分類する

定期的な棚卸しをルーティン化することで、新たなシャドーITの早期発見が可能になります。

対策5：CASBなどの技術的制御を導入する

技術的なアプローチとして、CASB（Cloud Access Security Broker）の導入が有効です。未承認サービスへのアクセスをブロックしたり、アクセス状況をログとして記録したりすることで、シャドーITを技術的に抑制できます。

ただし、技術的制御だけに頼ると現場からの反発が生じることがあります。「なぜブロックされているのか」を明示し、代替手段とセットで展開することが大切です。

対策6：SaaS統合管理ツールで自動化する

手動での棚卸しや経費確認には限界があります。SaaS統合管理ツールを導入することで、社内で使われているSaaSを自動検出・分類・管理できるようになります。主な機能としては以下が挙げられます。

• 利用サービスの自動検出とリスト化
• ユーザーごとのアクセス権限の一元管理
• 退職者アカウントの自動無効化
• ライセンスの過不足検出とコスト最適化

情シスの工数を大幅に抑えながら、シャドーITを継続的に監視・管理できる体制が構築できます。

シャドーIT対策のロードマップ：何から始めるか

「何から手をつければいいかわからない」という情シス担当者のために、実践的なステップを示します。

Step1（1〜2週間）：現状把握

対策の前提として、まず現状を知ることが必要です。承認済みSaaSのリストを作成し、ネットワークログや経費精算データからシャドーITの候補を洗い出します。現場へのヒアリングで「困っていること」「実際に使っているツール」を確認することも重要です。

Step2（2〜4週間）：リスク評価と優先度付け

把握したシャドーITを、セキュリティリスクの高さと業務への依存度で分類します。

• リスクが高く代替手段がある：早急に承認ツールへの移行を促す
• リスクが高く代替手段がない：代替ツールを選定・承認してから移行させる
• リスクは低いが業務依存度が高い：利用条件を設定して条件付き承認を検討する

Step3（1〜2か月）：ルール整備と申請フローの見直し

評価結果を踏まえて、社内のITガバナンスルールを整備します。シャドーIT禁止ポリシーの明文化と全社共有、新規ツール導入の申請フロー簡素化、プリ承認ツールリストの作成と公開、といった取り組みを進めます。

Step4（継続）：モニタリングと教育の継続

整備したルールも、環境の変化によって陳腐化します。四半期ごとのSaaS棚卸し、定期的なセキュリティ教育、新たに登場したAI系ツールへの迅速な対応を継続的に行う体制を作ることが重要です。

JosysによるシャドーIT管理の自動化

情シス担当者がシャドーIT対策として最も工数をかけているのが「現状把握と定期棚卸し」です。手動での管理には限界があり、担当者の異動や退職のたびに情報が引き継がれないリスクもあります。

Josysは、デバイスとSaaSを統合的に管理するITデバイス・SaaS統合管理クラウドです。社内で利用されているSaaSを自動検出し、承認状況・利用ユーザー・ライセンス数を一元管理することで、シャドーITの把握と継続的なガバナンスを実現します。

主な機能として、以下が挙げられます。

• SaaS利用状況の自動検出と可視化：社内で使われているSaaSをリスト化し、承認状況を管理
• ユーザーごとのアクセス権限管理：誰がどのSaaSを使っているかを把握し、不要なアクセスを削減
• 退職者アカウントの自動処理：退職時に複数SaaSのアカウントを一括で無効化し、情報漏洩リスクを低減
• デバイス管理との連携：デバイスとSaaSを紐づけて管理し、シャドーデバイスも把握

Josysの詳細を資料で確認する

まとめ

シャドーITが発生する原因は、従業員の悪意ではなく、以下の構造的な問題にあります。

• 現場のニーズと公式ツールのギャップ
• 申請フローの煩雑さとセキュリティ教育の不足
• クラウド・SaaSの普及による導入障壁の消滅

禁止令を出すだけでは、現場のニーズを抑圧するだけで根本解決になりません。情シスに求められるのは、シャドーITが生まれる理由を理解したうえで、現場が「正規ルートを使いたい」と思える環境を整えることです。

まずは現状把握から始め、ルール整備・申請フロー改善・継続的なモニタリングを組み合わせた対策を進めてください。SaaS管理ツールを活用することで、情シスの工数を抑えながら実効性の高い体制を構築できます。

Josysのデモを予約して、実際の管理画面を確認する

よくある質問（FAQ）

Q. シャドーITはどの業種・規模の企業でも発生しますか？

A. 業種・規模を問わず発生します。SaaSの普及により、中小企業でも発生しやすくなっています。大企業は部門数が多く把握が難しく、中小企業はIT管理体制が手薄なため見落とされやすい傾向があります。

Q. シャドーITを完全になくすことは可能ですか？

A. 完全な根絶は現実的には困難です。目標は「ゼロにすること」ではなく、「把握して管理できる状態を保つこと」です。継続的なモニタリングと、現場との信頼関係を基盤にした対話が重要です。

Q. シャドーITのリスクを従業員に伝えるには？

A. 抽象的なリスクを語るより、実際のインシデント事例を具体的に紹介する方が効果的です。「この操作をすると、このリスクが生じる」というシナリオ形式で示すことで、自分ごととして受け止めやすくなります。

Q. 最初に何から対策を始めるべきですか？

A. 最初のステップは「現状把握」です。自社にどのようなシャドーITが存在するかを把握しなければ、適切な対策が打てません。ネットワークログの確認と現場ヒアリングから始め、リスク評価をしたうえで優先度を決めて対策を進めることをお勧めします。

関連記事：シャドーITとは？発生原因・リスクと対策、具体事例を解説

• シャドーITの種類（関連記事：shadow-it-shurui）
• シャドーITへの対応・対策方法（関連記事：shadow-it-taiou）
• シャドーIT対策ツールの比較・選び方（関連記事：shadow-it-tool）
• シャドーITのコスト問題（関連記事：shadow-it-cost）

‍