シャドーITとは？情シスが知らないところで増えるリスクと対策

「シャドーIT」という言葉を耳にする機会は、この数年でずいぶん増えました。特にSaaSが普及してからは、情シスが把握していないサービスが業務で使われることも珍しくありません。現場がクレジットカードや無料プランだけでサービスを使い始められるようになったことで、導入のハードルは大きく下がりました。その一方で、「気づいたら同じようなSaaSが部署ごとに契約されていた」「退職者のアカウントが残ったままだった」といった問題も起こりやすくなっています。

シャドーITは、単に利用を禁止すれば解決する問題ではありません。重要なのは「どう見つけ、どう管理し続けるか」です。本記事では、シャドーITが問題になる理由や、現実的な対策の進め方を解説します。

シャドーITとは

シャドーITとは、情シスが把握・管理していないまま業務利用されているITのことです。代表例はSaaSですが、それだけではありません。私物のスマートフォンやUSBメモリといった端末、個人で取得したクラウドストレージのアカウントなども含まれます。つまり、「情シスの管理下にないまま業務で利用されているIT」の総称です。台帳に登録されていないSaaSやデバイス、アカウントなどは、すべてシャドーITになり得ます。注意点としては「会社が認めているかどうか」ではなく、「情シスが把握・管理できているかどうか」ということです。便利なツールであっても、管理されていなければシャドーITになります。

シャドーITの原因

ではなぜこのシャドーIT問題が起きるようになったのでしょうか。最大の理由は、「現場だけでITを導入できるようになったこと」でしょう。以前は、PCやソフトウェアを導入するには情シスや情報管理部門を通すのが一般的でした。しかし、SaaSはブラウザからサインアップし、クレジットカードを登録するだけで、その日のうちに利用を始められます。月額数千円程度のサービスであれば、部署の経費で契約できてしまうケースも少なくありません。そのため、情シスが把握していないところでどんどんと広がっていくものとなります。

ただ、1つ押さえておきたいのは、シャドーITは決して「悪意」から生まれるものではないということです。シャドーITは「業務を効率化したい」「無料だから試してみたい」といった自然な動機から始まります。つまり、シャドーITは便利だからこそ広がります。シャドーITの対策としては「禁止」ではなく、「見つけて管理する」という考え方が大事になります。（具体的な対策については後述します。）

シャドーITが招くリスク

コストのムダ

1つ目は、お金のムダです。同じ用途のツールが部署ごとにバラバラに契約されると、本来1つにまとめれば済む費用を二重三重に払うことになります。チャットがA部門はSlack、B部門はChatwork、というように重複していくパターンですね。さらに、退職者のアカウントを止め忘れて課金が続く、無料プランで足りるのに惰性で有料を払い続ける、といったムダも積み重なります。SaaSは1件あたりが小さい金額なので気づきにくいのですが、台数が増えると無視できない額になります。

セキュリティと退職リスク

2つ目は、情報の所在が分からなくなることと、退職者アカウントの放置です。シャドーITとして使われているクラウドストレージに重要なデータが入っていても、情シスはその存在すら知らない。どこに何があるか分からなければ、守りようがありません。SaaSは社外からでもアクセスできるので、退職した人のアカウントが残っていれば、自宅のPCからログインできてしまう。IPA（情報処理推進機構）の「情報セキュリティ10大脅威」でも、内部不正による情報漏えいは組織向けの上位に常連で入っています。把握できていないアカウントは、その入り口になりかねません。

コンプライアンス・ガバナンス

3つ目は、説明責任の問題です。何を使っているか分からなければ、監査で「業務利用しているクラウドサービスをすべて挙げてください」と言われても答えられません。J-SOX（内部統制報告制度）や各種認証への対応でも、管理外のITがあると統制が効いていることを示せなくなります。見えていないものは、統制していないのと同じ、と見なされてしまうわけですね。

シャドーIT対策（発見→棚卸し→統制）

先ほどあげた3つの問題はいずれも「見えていないこと」が原因になります。ですので、まずは発見することが必要となります。発見後は忘れずに資産台帳に登録することで今後統制できるようになります。

① 発見：使われているITを洗い出す

まずは、いま社内で何が使われているかを見つけ出す段階です。例えば、以下の方法方法があります。

• 請求明細・経費精算の棚卸し：経理が持つクレジットカードの利用明細や経費精算のデータをたどると、「毎月この会社に支払いがある」という形で契約の存在が浮かび上がります。
• 現場へのヒアリング：各部署に「業務で使っているクラウドサービスを挙げてください」と聞いて回る。明細だけでは分からない「何のためのツールか」が見えてきます。
• SSO・IdPのログ確認：シングルサインオンやIDプロバイダを導入していれば、認証ログから「どのサービスにログインしているか」をたどれる場合があります。

② 棚卸し・登録：見つけたものを台帳に集約する

発見したIT、特にSaaSは、見つけただけでは意味がありません。「何を・誰が・いくらで」使っているかを1件ずつ並べて、台帳に集約します。サービス名、契約アカウント数、月額や年額のコスト、契約更新日、管理部門。こうした情報を1か所に書き出すことで、はじめて「全体でいくつあって、いくら払っているのか」が形になります。

③ 可視化・統制：使われ方を見て、止めるべきを止める

台帳ができたら、それを使い続ける段階です。契約しているアカウント数と実際に使っている数のズレを見て、使われていないものを減らす。退職や異動のときには、その人のアカウントを確実に止める。更新時期を追って、不要な契約は更新しない。発見して終わりではなく、ここを継続することが統制の中身です。

Assetiveでできること

上記についてはIT資産管理専用ツールで効率化できます。ただし、Assetiveでは、ネットワーク通信やブラウザの利用状況から自動的にシャドーITを検知する機能はありません。Assetiveが力を発揮するのは、見つけたあとの登録・可視化・継続的な管理の作業となります。具体的な機能は以下になります。

見つけたSaaSを台帳に登録して一元管理

発見したSaaSは、1件ごとに台帳へ登録できます。サービス名・プラン名・契約会社・URL・契約アカウント数・契約金額（月額や年額相当）・契約開始日と終了日・管理部門・管理者。棚卸しで洗い出した「何を・誰が・いくらで」を、そのまま1つのレコードに書き写していくイメージで登録できます。組織固有の項目があれば、カスタムフィールドで追加もできます。

登録後は一覧画面で管理され、サービス名や管理部門名、タグ情報で検索が可能となります。デバイスやライセンスとタブで切り替えられる他、まとめてデータのエクスポートも可能のため、PC等のデバイスやソフトウェアライセンスとあわせて統合的な管理が可能となっています。

誰が・いくらで使っているかの可視化

台帳に載せたら、次に見たいのは使われ方の確認です。Assetiveでは、契約アカウント数を手動で入力し、実際に使っている数は社員への割り当て実績から自動で集計します。ダッシュボードのKPIカードにはSaaS総数が出る他、利用率の多いSaaSがグラグ表示され、社内にいくつあるのかがひと目で分かります。グラフ内をクリックすることでSaaSを使用している社員一覧へドリルダウンも可能です。

また、コストの面でも、各SaaSの契約金額をもとに月次のコスト推移や部門別のコスト分布を追えます。シャドーITの怖さは「気づいたら増えていた」ことです。増減を数字で追える状態にしておくことで再発の抑止になります。

退職・異動時にアカウントを止める

シャドーIT対策で最後まで効いてくるのが、人が抜けたときの後始末です。退職時は社員（アカウント）の削除処理を行うことでSaaSの管理者を後任者に自動引き継ぎができます。また、割り当てたれたライセンスも自動で解除されます。この仕組みによりSaaSの管理者が不明な状態や、余剰にライセンスがカウントされている問題を防止できます。

まとめ

シャドーITとは、情シスが把握・管理していないまま現場で使われているITのことです。悪意ではなく、便利だからこそ増えていく。だからゼロにするのは難しく、現実的には「発見 → 棚卸し・登録 → 可視化・統制」の流れで把握し続けることが対策の中心になります。発見は人と既存の仕組みで地道に進めるもの。そして見つけたものを台帳に載せ、誰が・いくらで使っているかを見える状態で保ち、退職時には確実に止める。ここまでやって、はじめてシャドーITは手綱の中に入ります。

逆に言えば、一度見つけて満足してしまうと、台帳が更新されないまま、また半年後には見えなくなる。発見して終わりにしないことが、いちばん大事なのだと思います。シャドーITはSaaS管理と地続きの話ですし、資産管理全体の中での位置づけをあらためて確認したい方は、IT資産管理とは｜基礎知識もあわせてご覧ください。

増えていくSaaSをExcelの台帳で追い続けるのは、数が20、30と増えるほど苦しくなってきます。見つけたSaaSを台帳に載せ、使われ方とコストを1か所で見える状態に保ちたいと感じた方には、Assetiveが選択肢のひとつになるかもしれません。Excelと専用ツールのどちらが合うか迷っている方は、IT資産管理はExcel・専用ツールどちらにすべき？の判断軸もあわせて見てみてください。