シャドーITとは？該当する例とBYODとの違い・公的資料に沿った対策

シャドーITとは、会社の情報システム部門の許可を得ないまま業務で使われているIT機器やソフトウェア、クラウドサービスのことです。無料のファイル転送サービスで見積書を送る、個人のチャットアプリで案件の相談をする、私物のスマートフォンで社用メールを読む。どれも悪意はなく、多くは「そのほうが仕事が早いから」という理由で始まります。

やっかいなのは、管理部門から見えないという一点です。存在を把握していないサービスは、アクセス権を止めることも、事故が起きたときに調査することもできません。この記事では、公的資料の記述に沿って定義を確認したうえで、該当する例と該当しない例の線引き、BYODとの違い、総務省ガイドラインが示す対策、漏えい時の法的義務までを整理します。

まとめ｜シャドーIT対策の要点

• シャドーITは、許可を得ずに業務利用されているIT機器・ソフトウェア・クラウドサービスの総称です。
• IPAの試験シラバスは、シャドーITを「脅威」ではなく「脆弱性」の用語例に置いています。攻撃そのものではなく、攻撃が通る穴という位置づけです。
• 会社の許可があればシャドーITではありません。BYODとの違いは端末の所有者ではなく、規程と台帳に載っているかどうかです。
• 総務省「テレワークセキュリティガイドライン（第5版）」は、シャドーITを教育の問題ではなく「資産・構成管理」の課題として扱い、台帳整備・事前申請・未許可アプリの制限を対策に挙げています。
• 2026年の焦点は生成AIです。IPA「情報セキュリティ10大脅威 2026」は「AIの利用をめぐるサイバーリスク」を組織編3位に挙げ、対策として未許可AIサービスの利用禁止を示しています。
• シャドーIT経由でも個人データが漏えいすれば、個人情報保護委員会への報告義務は同じように発生します。速報の期限は発覚日から3〜5日以内です。

以下、それぞれの根拠と、社内で実行に移すときの具体的な判断基準を見ていきます。

シャドーITとは｜IPAが「脅威」ではなく「脆弱性」に分類する理由

公的資料での定義：許可を得ずに業務利用されるIT機器・サービス

行政文書でシャドーITを名指ししている代表例が、総務省「テレワークセキュリティガイドライン（第5版）」（令和3年5月）です。同ガイドライン69頁の「資産・構成管理」の節に、次の一文があります。

「許可していないハードウェアやソフトウェア、クラウドサービス等が勝手に利用される（いわゆるシャドーIT）と、守るべき業務情報等について、管理者によるセキュリティ統制が行えなくなり、情報漏えいのリスクが増加します」

この定義には実務で使える要素が3つあります。対象はハードウェア・ソフトウェア・クラウドサービスの3種類、判定基準は許可の有無、そして問題の本質が情報漏えいそのものではなく統制が効かなくなることにある点です。なお、このガイドラインはテレワーク端末を前提とした文書です。定義自体はオフィス内の利用にも当てはまりますが、対策項目を引用するときは対象範囲を意識してください。

IPAの試験シラバスでの位置づけ｜人的脅威ではなく脆弱性の用語例

シャドーITがセキュリティ体系のどこに置かれるのかを、もっとも明確に示しているのがIPA（情報処理推進機構）の試験シラバスです。ITパスポート試験シラバスVer6.5の58頁、中分類23「セキュリティ」の「61.情報セキュリティ」を見ると、シャドーITは(3)脅威と脆弱性のうち「④脆弱性」の用語例として登場します。

注目したいのは、同じシラバスの「①人的脅威の種類と特徴」にはシャドーITが入っていない点です。人的脅威の用語例に並ぶのは、漏えい・紛失・盗み見・なりすまし・内部不正・誤操作といった行為で、シャドーITはそこではなくバグやセキュリティホールと同じ棚に置かれています。上位2試験ではさらに「内部統制の不備」と並記されます。

つまりIPAの整理では、シャドーITは攻撃や事故そのものではなく、攻撃や事故が通ってしまう構造上の穴です。この違いは対策の立て方に直結します。脅威なら「起きないように監視して止める」発想になりますが、脆弱性なら「穴が空いている状態を解消する」、すなわち利用実態を可視化して正規のルートに載せ替える発想が主軸になります。犯人探しの社内調査が空回りしやすいのは、脆弱性の問題を脅威の枠組みで扱っているからです。

言い換えと関連語｜野良SaaS・シャドーAI・シャドーデータ

日本語のビジネス文書では「無許可IT」「未承認IT」と言い換えられます。対象をクラウドサービスに絞った場合は「野良SaaS」「未承認SaaS」という呼び方が実務で定着しています。派生語も押さえておくと社内の議論がかみ合います。

• シャドーAI：許可されていない生成AIサービスの業務利用。2026年時点でシャドーITのなかで最も件数が伸びている領域です。
• シャドーデータ：管理台帳に載っていない場所に置かれた業務データ。シャドーITの結果として生じます。
• シャドーIT資産：資産管理台帳に記載がないまま社内ネットワークにつながっている機器。

いずれも「管理側が把握していない」という一点で共通しており、対策の入口も同じ可視化になります。生成AIに固有の論点はシャドーAIの無断利用が招く情報漏洩リスクと対策で個別に扱っています。

シャドーITに該当するもの・該当しないもの

該当する典型例

総務省ガイドラインの3分類に沿って整理すると、社内で起きていることの大半は次のいずれかに収まります。

判定に迷ったときの基準は単純で、そのサービス名を情シスに聞いたときに「うちで使っています」と即答できるかです。答えられなければ、無償か有償かにかかわらずシャドーITです。無料サービスのほうがむしろ、規約上のデータ利用範囲が広く監査ログの提供もないため、統制上は不利になります。

該当しないもの｜端末の所有者ではなく許可と管理の有無という境界線

同じ「私物スマホで社用メールを見る」という行為でも、BYODの規程があり、端末が台帳に登録され、MDMで管理されているなら、それはシャドーITではありません。逆に会社支給のPCであっても、情シスが把握していないクラウドサービスに業務データをアップロードしていれば、そのサービス利用はシャドーITです。判定の軸は端末の所有者ではなく、許可と管理の有無だと覚えてください。

グレーゾーンになりやすいのが、正式導入したSaaSの範囲外の使い方です。全社導入のストレージで社外へ期限なしの公開リンクを発行するケースは、サービス自体は承認済みでも運用が統制外に出ています。呼び名はともかくリスクの性質は同じなので、利用ルールの点検対象に含めてください。承認済みSaaSの共有設定や、社員が同意した外部アプリ連携を管理者側で洗い出す手順はSaaSセキュリティの設定診断とOAuth連携の棚卸しにまとめています。

シャドーITとBYOD・許可済みSaaSの違い

BYOD（Bring Your Own Device）は、従業員の私物端末を業務に使う仕組みそのものを指します。私物端末を使う点だけを見ると両者は似ていますが、決定的に違うのは会社の承認手続きを経ているかどうかです。

この表が示すのは、BYODがシャドーITの対策側の制度だという点です。私物端末の業務利用を全面禁止しても実態が変わらなければシャドーITが残るだけなので、規程を整えて台帳に載せ、MDMで統制するほうが安全になります。制度設計の論点はBYOD導入の背景とメリット・デメリット、端末管理側の選定基準はMDMの仕組みとEMM・UEMとの違いで扱っています。

シャドーITが発生する4つの構造的な理由

シャドーITは、ルールを知らない従業員が起こす例外ではありません。会社が用意した仕組みと現場の必要量の差が、そのまま隙間として現れたものです。原因は大きく4つに分かれます。

1つ目は、公式ツールの機能不足です。典型的なのはファイル送受信で、社内メールの添付上限が10MBなのに、実務では数百MBの設計データや動画を取引先とやり取りしなければならない、という状況です。代替手段が用意されていなければ、無料のファイル転送サービスが使われます。

2つ目は、申請フローの遅さです。ツールの導入申請に稟議で数週間かかる一方、業務の締切は今週です。この時間差が埋まらない限り、その場でアカウントを作れる無料サービスが選ばれ続けます。承認プロセスの厳格さは、統制を強めるのではなく、統制の外へ人を押し出す方向に働くことがあります。

3つ目は、テレワークによる可視性の低下です。オフィスであれば画面が周囲から見え、ネットワークもプロキシを通りますが、自宅の回線から直接クラウドへ接続すればその経路は残りません。総務省ガイドラインも、通信をオフィス経由にせず直接インターネットへ出すローカルブレイクアウト方式について「許可していないクラウドサービスの利用やマルウェア感染等についてセキュリティ統制が難しいという課題があります」と指摘しています。在宅勤務環境で発生するリスクの全体像はテレワーク環境のセキュリティリスクの発生構造にまとめました。

4つ目は、会社としての方針そのものの不在です。総務省「令和7年版 情報通信白書」によると、生成AIを「積極的に利用する方針」「利用する予定の方針」と回答した国内企業は2024年度調査で49.7%でした（2023年度調査は42.7%）。裏を返せば、半数の企業は生成AIについて明確な方針を示していないことになります。会社が可否を決めないまま業務要求だけが増えれば、従業員は個人アカウントで埋めるしかありません。

シャドーITが招くリスクと、漏えい時に生じる法的義務

統制が効かないことで生じる5つのリスク

シャドーITが問題視される理由は「危険なサービスを使うから」ではなく、管理側が存在を知らないために通常なら効くはずの対策がすべて空振りする点にあります。

• 脆弱性対応から漏れる：利用中のサービスに脆弱性が公表されても、把握していないため影響調査の対象に入りません。
• アカウントが退職後も生き残る：個人アカウントで契約したサービスは、人事の退職処理と連動しません。データもアカウントごと社外に残ります。
• 事故の検知と調査ができない：監査ログの取得設定も保存期間も会社の管理外です。何が漏れたのかを特定できません。
• 多要素認証などの必須要件が適用されない：全社で統一したはずの認証強度が、そのサービスにだけ及びません。
• 攻撃の入口になる：IPA「情報セキュリティ10大脅威 2026」組織編で8位に入った「リモートワーク等の環境や仕組みを狙った攻撃」では、私物端末や組織支給端末を狙ってマルウェアに感染させ、窃取した認証情報で社内システムへ侵入する手口が挙げられています。

クラウド側の設定不備と自社責任の切り分けについては、クラウドセキュリティの責任共有モデルの考え方が判断の土台になります。

2026年の焦点はシャドーAI｜10大脅威3位に入った利用リスク

IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織編の3位に「AIの利用をめぐるサイバーリスク」が入りました。続いて2026年3月12日に公開された解説書［組織編］は、従業員が個人的に使っている生成AIサービスを業務に持ち込む行為をシャドーAIとして取り上げ、経営者層が取るべき対策として「シャドーAI回避のため、AIサービス利用の検討」を挙げ、その下に「未許可・未認可のAIサービス利用（シャドーIT）の禁止」と明記しています。

規模感を示す数字として、同解説書は米国のAI企業による調査を引用しています。業務で生成AIにデータをコピー＆ペーストして入力している利用者は77%おり、そのうち82%は組織に管理されていないアカウントによるものだったという内容です。生成AIの業務利用が広がるほど、統制外のアカウント経由で情報が出ていく経路が増えることを示しています。

漏えい時の報告義務｜経路を問わない適用範囲と発覚遅れという弱点

見落とされがちですが、個人データが漏えいした場合の法的義務は、経路が公式システムかシャドーITかで区別されません。個人情報保護委員会は、報告対象となる事態として次の4類型を示しています。

• 要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ）
• 不正の目的をもって行われたおそれがある個人データの漏えい等（又はそのおそれ）
• 個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）

報告は二段階です。速報は発覚日から3〜5日以内、確報は発覚日から30日以内で、3番目の類型（不正の目的をもって行われたおそれがある場合）だけは60日以内とされています。加えて本人への通知も必要になります。

ここでシャドーIT固有の問題が表面化します。期限の起算点は「発覚日」ですが、情シスが存在すら知らないサービスの事故は、そもそも発覚が遅れます。取引先からの指摘や外部の公開情報で初めて知るケースでは、原因調査に必要なログが保存期間を過ぎていることも珍しくありません。「そのおそれ」の段階でも報告対象になる以上、範囲を特定できないまま30日を迎えるリスクを抱えることになります。事後対応の観点からも、まず利用実態を把握しておく価値があります。

シャドーIT対策｜総務省ガイドラインの「資産・構成管理」に沿った進め方

ここで押さえたいのは、総務省ガイドラインがシャドーITを従業員教育の節ではなく「資産・構成管理」の節に置いていることです。意識の問題ではなく、資産を把握して構成を管理する運用の問題として扱われています。同節の対策項目は次のように整理されています。

この並びを実行順に置き換えると、対策は次の流れになります。

第一段階は可視化です。禁止から始めても、見えていないものは止められません。プロキシやファイアウォールの通信ログから接続先ドメインを抽出する、経費精算の明細からサブスクリプション決済を洗い出す、といった手段で現状を並べます。

第二段階は台帳への登録と分類です。可視化した結果をそのまま禁止するのではなく「正式導入する」「条件付きで許可する」「代替を用意して停止する」の3つに仕分けます。管理者B-1が求める台帳は、この仕分け結果を保持する場所になります。

第三段階は、申請フローを現場が待てる速度にすることです。管理者B-3は事前申請を求めていますが、申請しても1か月待たされるならシャドーITは減りません。低リスクのツールは簡易審査で数日、機微情報を扱うものだけ本審査、といった段階分けで、原因の2つ目に挙げた時間差を埋めます。

第四段階が技術的な制限です。管理者B-4のようにMDMや端末管理ツールで未許可アプリを制限し、クラウド側の通信はSASEの構成要素とゼロトラスト・SSEとの違いで解説しているCASBやSWGの機能で可視化・制御します。順序が重要で、制限を先に入れると業務が止まり、抜け道を探す動きを招きます。可視化と代替手段の提供を済ませてから制限をかけてください。

最後に周知と教育です。「禁止です」だけの通達ではなく、承認済みツールの一覧と申請窓口をセットで示すと、現場は正規ルートを選べます。生成AIについては、IPAの解説書が個人アカウントでの業務利用の制限と規程違反時の対応の明確化を挙げており、可否の線引きを文書で示すことが出発点になります。

よくある質問

シャドーITとはどういう意味ですか？

情報システム部門の許可を経ずに業務で使われているIT機器・ソフトウェア・クラウドサービスの総称です。会社が導入を決めた仕組みの外側で、現場の判断だけで使われている状態を指します。管理者の目が届かない影（シャドー）の部分で動いていることが、この呼び名の由来です。無償のサービスや私物端末が典型ですが、部署が独自に有償契約したツールも同じ扱いになります。

シャドーITに該当するものはどれですか？

会社が許可していないオンラインストレージで業務ファイルを取引先に送る、個人のチャットアプリで案件情報をやり取りする、私物のUSBメモリや私物PCを許可なく業務に使う、部署の判断だけで契約した業務用SaaSを使う、といった利用が該当例です。逆に、災害に備えて規程どおりに遠隔地へバックアップを取る行為や、BYOD規程に基づいて登録・管理された私物端末の利用は該当しません。判断基準は端末の所有者ではなく、会社の許可と台帳登録の有無だと考えてください。

シャドーITが禁止されている理由は何ですか？

利用実態を把握できないため、脆弱性が公表されても影響調査の対象に入らず、退職者のアカウントも残り、事故が起きてもログが残らないためです。IPAの試験シラバスがシャドーITを「脅威」ではなく「脆弱性」の用語例に置いているのは、それ自体が攻撃ではなく、攻撃や事故が通る穴だからです。個人データが漏えいすれば、経路がシャドーITであっても個人情報保護委員会への報告義務は同じように発生します。

シャドーITの言い換えは何ですか？

社内規程や稟議書で使うなら「無許可IT」「未承認IT」が定訳にあたります。対象をクラウドサービスに限定した文脈では「野良SaaS」「未承認SaaS」が実務での通り名です。英語表記はShadow ITで、そのまま片仮名にした「シャドウIT」も同義として流通しています。

シャドーITとBYODの違いは何ですか？

会社の承認手続きを経ているかどうかが違いです。BYODは私物端末の業務利用を会社が規程で認めた仕組みで、端末は台帳に登録され、MDMなどで統制されます。シャドーITには承認も台帳登録も統制手段もありません。同じ私物スマートフォンの利用でも、規程に基づいていればBYOD、そうでなければシャドーITになります。BYODはシャドーITの対策側の制度と位置づけられます。

関連記事

• シャドーAIとは？無断利用が招く情報漏洩リスクと企業の対策を解説【2026年版】
• BYODとは何か？企業導入の背景とメリット・デメリットも含めた基本概念を初心者向けに徹底分かりやすく解説
• MDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】
• テレワークのセキュリティ対策｜侵入経路の実態と場所別のリスク、総務省ガイドライン第5版の要点
• クラウドセキュリティとは？リスクと責任共有モデルから見た企業の守り方