シャドーITとは？リスクと対策をわかりやすく解説【IPA試験対策】

対象試験と出題頻度

この記事では、情報処理技術者試験で問われる「シャドーIT（Shadow IT）」について、IT初心者にもわかりやすく解説します。

対象試験と出題頻度は以下のとおりです。

詳細をクリックして確認

対象試験：
ITパスポート
情報セキュリティマネジメント
基本情報技術者
応用情報技術者

出題頻度：
★★★☆☆
ランクB（覚えておくと有利）

用語の定義

シャドーIT（Shadow IT）とは、一言で言うと「企業や組織の許可を得ずに、従業員が独自の判断で業務に使用しているデバイスやサービス」のことです。

イメージとしては、「会社の目が届かない『影』で使われているIT」というものです。
例えば、会社が許可していない私用スマートフォンで業務メールを確認したり、個人アカウントのクラウドストレージに仕事のファイルを保存したりする行為が該当します。便利だからと悪気なく使っていても、情報漏洩やマルウェア感染などの重大なセキュリティリスクを招く可能性があります。

解説

シャドーITは、テレワークの普及や便利なクラウドサービスの増加に伴い、多くの企業で問題となっています。従業員が「業務を効率化したい」「会社のツールが使いにくい」といった理由で、悪気なく私用デバイスや無料サービスを業務に使ってしまうケースが増えています。

しかし、IT部門が把握していないこれらのシャドーITは、企業にとって深刻なセキュリティリスクとなります。

シャドーITの代表的な例として、以下のようなものがあります。

• 私用デバイスの業務利用：会社の許可なく、私用のスマートフォンやPCで業務メールを確認したり、業務ファイルを編集したりする行為。
• 無許可のクラウドストレージ：Google DriveやDropboxなど、会社が承認していないクラウドサービスに業務ファイルを保存・共有する行為。
• フリーメールの業務利用：GmailやYahoo!メールなど、個人のフリーメールアドレスで業務連絡を行う行為。
• 無許可のチャットツール：LINEや個人アカウントのSlackなど、会社が管理していないツールで業務連絡やファイル共有を行う行為。
• 公共Wi-Fiの利用：カフェや駅などの公共Wi-Fiを使って業務データにアクセスする行為。

シャドーITが広まった背景には、テレワークの急速な普及があります。コロナ禍以降、自宅やカフェなどオフィス以外で仕事をする機会が増え、会社の管理下にないデバイスやサービスを使いやすい環境になりました。

また、Google DriveやDropbox、Slackなど、無料で高機能なツールが増えたことで、従業員が「便利だから」と個人的に導入してしまうケースも増えています。

さらに、企業のIT部門が提供するツールが従業員のニーズに合っていない場合や、セキュリティ教育が不十分な場合も、シャドーITが発生しやすくなります。

シャドーITへの対策

シャドーITを防止するためには、技術的な対策と組織的な対策の両面からアプローチする必要があります。

• IT資産管理ツールの導入：社内ネットワークに接続されたデバイスやインストールされたソフトウェアを可視化し、許可されていないものを検出します。操作ログの取得により、不正なファイル持ち出しなども監視できます。
• MDM（Mobile Device Management）の導入：スマートフォンやタブレットなどのモバイル端末を一元管理し、紛失時のリモートワイプや、業務アプリのみインストール許可といった制御が可能になります。
• CASB（Cloud Access Security Broker）の導入：従業員が利用しているクラウドサービスを可視化し、許可されていないサービスへのアクセスを制御します。
• セキュリティポリシーの策定と周知：シャドーITに関するルールを明確に定め、従業員に周知徹底します。禁止事項だけでなく、「こういう場合はこのツールを使う」という代替手段も示すことが重要です。
• 従業員へのセキュリティ教育：シャドーITのリスクを具体的な事例とともに教育し、セキュリティ意識を高めます。
• 業務ツールの見直し：従業員がシャドーITに走る原因が「会社のツールが使いにくい」場合は、より使いやすいツールの導入を検討します。

---

試験ではこう出る！

ITパスポート、情報セキュリティマネジメント、基本情報技術者、応用情報技術者で出題されます。

以下のキーワードとセットで覚えましょう。

---

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。