⌖ Detail
シャドーITとは？発生原因とリスク・企業の対策を解説
はじめに
無料のクラウドストレージに業務資料を置く、個人のメッセージアプリで仕事の連絡を回す、便利な生成AIサービスに社内文書を貼り付ける。いずれも本人には悪意がなく、むしろ仕事を早く進めたいという意図から生じます。こうした会社の許可を得ていないIT利用の総称がシャドーITです。情報システム部門だけの問題に見えますが、実際には人事の関わる領域と深く結びついています。本記事では、シャドーITの定義と発生の背景、リスクと企業の対策を解説します。
シャドーITとは？
シャドーITとは、企業が公式に認めていないIT機器やクラウドサービス、アプリケーションを、従業員が業務のために無断で利用する状態を指します。総務省のガイドブックによると、シャドーITは「隠れて使われているIT」のことで、企業や組織の管理部門が許可していない情報システムやサービスの利用がこれに当たります（総務省『クラウドの設定ミス対策ガイドブック』（2024年4月）のコラム「シャドーIT」、2026-11-04取得）。具体例としては、会社が契約していないファイル共有サービスへの業務データの保存、個人所有の端末での業務メールの閲覧、私用のチャットアプリでの業務連絡、無償の翻訳サービスや生成AIへの社内情報の入力などが挙げられます。似た言葉に、企業が私物端末の業務利用を制度として認めるBYODがありますが、こちらは会社の承認と管理のもとで行われる点でシャドーITとは区別されます。内閣官房国家サイバー統括室の府省庁向け手引書は、私物端末が個人の判断で業務に使われる状態をシャドーITとして説明し、禁止のルールが徹底されない場合などに想定されると述べています（内閣官房国家サイバー統括室『スマートフォン等の業務利用における情報セキュリティ対策の実施手順策定手引書』（2025年7月1日）、2026-11-04取得）。総務省のテレワークセキュリティガイドラインは、シャドーITでは情報漏えいの危険が増すため、テレワーク端末のソフトウェアなどを管理することが重要だとしています（総務省『テレワークセキュリティガイドライン 第5版』（令和3年5月）、2026-11-04取得）。
出典を示した部分を除き、この用語の説明は当社の見解です。
広告
シャドーITがよく使われるシーン
情報セキュリティ方針の見直しの場面で頻繁に登場します。管理対象の資産を洗い出す際、把握できていない利用の存在を前提に対策を組み立てる必要があるためです。テレワークやハイブリッドワークの制度設計でも論点になります。自宅の通信環境や個人端末をどこまで業務で使ってよいかを定めないままでは、判断が個人任せになります。人事の実務では、就業規則や情報取扱規程の整備、入社時研修や年次のセキュリティ教育の内容設計、そして懲戒事由の定め方に関わります。近年は生成AIの業務利用が広がり、会社が承認していないサービスに機密情報を入力する行為が新たな類型として注目されています。生成AIの利用指針を整備する際、シャドーITの観点は避けて通れません。