>
>
公開日
シャドーITの発見方法とは？まず組織の現状を把握する
シャドーIT（シャドウIT）とは、IT部門の許可を得ずに従業員や各部門が利用するデバイスやクラウドサービス（SaaS）、ソフトウェアのことです。シャドーITの発見方法は、ネットワークログの解析やCASB（キャスビー）の導入、経費精算の確認など多岐にわたりますが、単に禁止するのではなく「なぜ使われているのか」という背景を把握することも欠かせません。本記事では、IT資産管理を強化し、安全な業務環境を構築するための具体的な検知手法とステップを詳しく解説します。
✔ シャドーIT検知の最短ルートは「ネットワークログ×経費データ」の掛け合わせだ
✔ シャドーITの主な発見手法5つ（ログ分析・CASB・資産管理・経費チェック・アンケート）
✔ 発見後は即禁止ではなく「評価→サンクション化→継続監視」のサイクルが正解
✔ 発見後の評価・サンクション化の判断基準
✔ 継続的な監視体制の作り方
近年は、部門ごとにSaaSが乱立し管理コストが急増する「SaaSスプロール」と、IT部門の監視をすり抜けて利用される「サイレントシャドーIT」（従業員本人すら問題意識を持たない無断利用）が新たなリスクとして注目されています。また、会社支給端末以外の個人端末（スマートフォン・私用PCなど）を業務に使うBYOD（Bring Your Own Device）はシャドーITと混同されがちですが、BYODは「デバイスの持ち込み」を指し、シャドーITは「IT部門の承認を得ていないサービス・ソフトウェアの利用」を指す点で異なります。両者は重複するリスク領域を持ちますが、対策の主体と手法は異なるため、切り分けて管理することが重要です。
シャドーITを発見するための最も確実な方法は、社内ネットワークの通信ログを可視化し、未許可のクラウドサービスへのアクセスを特定することです。従業員が独断で導入したツールを早期に検知することで、機密データの流出やアカウントの不正利用といったサイバー攻撃のリスクを最小限に抑えられます。
なぜシャドーITの調査が必要なのか
シャドーITを放置すると、会社が管理していない経路でデータが外部へ持ち出され、重大な情報漏洩事故に繋がる恐れがあります。また、同じ機能を持つ有料ツールを各部署がバラバラに契約することでライセンスコストが重複し、IT予算の無駄遣いも発生します。情シスが全体像を把握することは、セキュリティとコスト両面に直結する優先課題です。
発見が遅れることで生じるセキュリティリスク
未許可のデバイスやアプリの発見が遅れると、脆弱性の放置や管理外のアカウント乗っ取りに対処できなくなります。
例えば、個人用のストレージサービス（GoogleドライブやDropboxの個人アカウント）へ業務データをアップロードされた場合、退職後もデータにアクセス可能な状態が続いてしまいます。こうした事態を防ぐには、常時監視の仕組みを整えることが先決です。
まずは検知に進む前に、シャドーITが自社に発生してしまう根本原因と代表的な企業対策を整理し、安全なIT環境づくりの基礎知識を身につけましょう。
効率的にシャドーITを検知する5つの具体的なアプローチ
効率的なシャドーITの発見方法は、技術的なログ分析と、経理データなどの非技術的な情報の照合を組み合わせることです。一つの手法だけでは、テレワーク環境やモバイル端末からのアクセスを完全には網羅できないため、複数の観点からチェック体制を構築しましょう。
1. ネットワーク機器やプロキシのログ分析による通信特定
社内LANやVPNを経由する通信ログを解析し、未承認のURLやドメインへのアクセスを抽出する手法です。
ゲートウェイ（ネットワークの出入り口）を通過するトラフィックを監視することで、どの端末がどのSaaSを利用しているかを物理的に把握できます。ただし、暗号化された通信の内容まで詳細に把握するには、SSL復号化機能を持つ次世代ファイアウォール（NGFW）などの設備が必要です。テレワーク環境では自宅Wi-Fi経由の通信が社内プロキシを通らないケースがあるため、VPN強制適用との組み合わせが効果的です。
2. CASB（Cloud Access Security Broker）によるリアルタイム監視
CASBとSSPMの違い
CASBはユーザーとクラウドサービスの間の通信を仲介し、未承認SaaSへのアクセス自体を制御・可視化するツールです。一方、SSPM（SaaS Security Posture Management）はすでに承認・導入済みのSaaSの設定ミスや過剰権限を継続的に評価するツールであり、両者は補完関係にあります。シャドーITの「発見」には主にCASBが、公認SaaSの「設定管理」にはSSPMが適しています。
CASBは、従業員とクラウドサービスの間に位置し、全てのクラウド利用状況を一元管理・制御するためのセキュリティソリューションです。
これを利用することで、「誰が・いつ・どのサービスに・どんなデータをアップロードしたか」をリアルタイムで可視化できます。クラウド経由の通信を網羅的に把握できる手法として、現状では最も検知精度が高い方法の一つです。主要なCASB製品（Netskopeなど）では数万単位のクラウドサービスの安全性を自動でスコアリングする機能も備わっており、未知のSaaSに対してもリスク評価を自動付与できます。
3. IT資産管理ツールによるインストールアプリの把握
PCなどの端末（エンドポイント）に導入したエージェントソフトを通じて、インストールされているアプリケーションを一覧化する方法です。
PCに直接インストールされるデスクトップアプリだけでなく、ブラウザの拡張機能として動作するツールも検知対象に含めることができます。スマートフォンの場合は、MDM（モバイルデバイス管理）を活用することで、業務端末内での未許可アプリの利用を制限・把握することが可能です。なお、ブラウザ上で完結するWebアプリはエージェントだけでは捕捉しきれないため、ログ分析との併用を推奨します。
4. 経費精算データやクレジットカード利用履歴のチェック
経理部門と連携し、SaaSの月額利用料と思われる決済（クレジットカードや請求書）を特定する非技術的なアプローチです。
システム上のログには残らない「部署単位の少額契約」を見つけるのに非常に有効です。「サブスクリプション」「IT利用料」といった費目を確認することで、情シスの知らないところで契約されている有料サービスの存在が浮き彫りになります。経費精算データは直近3ヶ月程度を起点に確認するとスコープが絞りやすく、SaaS名や決済代行会社名（例：Stripe、Recurly等）をキーワードにフィルタリングすると効率的です。
5. 従業員アンケートやヒアリングによる実態調査
匿名性を担保したアンケートを実施し、現場が「業務効率化のためにやむを得ず使っているツール」を正直に申告してもらう方法です。
どれほど厳格な監視システムを導入しても、現場に「不便さ」があれば新しいシャドーITが生まれます。実態調査を通じて現場のニーズを把握することは、単なる摘発ではなく、使い勝手の良い代替ツール（サンクションIT）を提案するための土台にもなります。
【比較表】シャドーIT発見手法のメリット・デメリット
手法 | 検知精度 | 導入難易度 | コスト | カバー範囲 |
|---|---|---|---|---|
ログ分析 | 中 | 低（既存設備活用） | 低 | 社内LAN経由の通信全般（テレワーク弱） |
CASB導入 | 高 | 高 | 高 | クラウド通信全般（リアルタイム） |
資産管理ツール | 中〜高 | 中 | 中 | 端末インストールアプリ（Webアプリ弱） |
経費チェック | 中（有料SaaSのみ） | 低 | 低 | 有料SaaS・サブスク（無料ツール不可） |
アンケート | 低〜中 | 低 | 低 | 現場の利用実態・ニーズ把握 |
社内のログ収集や手動での確認を効率化したい場合は、散らばったSaaSのアカウントや利用状況を自動で可視化・管理できるツールの導入が最も近道です。
▲ シャドーIT検知における技術的アプローチと非技術的アプローチの比較
シャドーIT発見後の対応フローとガバナンス構築のコツ
シャドーITを発見した後は、即座に利用を禁止するのではなく、そのツールが「ビジネスに必要かどうか」を評価し、適切な管理下に置く（サンクション化）かどうかのプロセスを回します。
許可するか禁止するかを判断する評価基準
発見したツールを継続利用させるかどうかは、「セキュリティ要件」と「業務上の必要性」の2軸で判断します。
例えば、ISMS（情報セキュリティマネジメントシステム／ISO 27001）やPマークの基準を満たしているか、二要素認証（2FA）に対応しているかといったチェックリストを作成しましょう。業務上不可欠であり、かつ安全性が確認できれば、情シス公認のツールとして全社導入を検討する価値があります。
安全な「サンクションIT（公認IT）」への誘導ステップ
シャドーITを排除する最大の対策は、現場が「これを使えば便利で安全だ」と思える公認ツールを迅速に提供することです。
代替案の提示: 禁止する代わりに、同等の機能を持つ安全なツールの利用を推奨する。例えばファイル共有であればMicrosoft SharePointやBox（企業契約）への移行を提案し、移行コストを情シスが支援することで現場の協力を得やすくなります。
SSO（シングルサインオン）への組み込み: Microsoft Entra ID（旧Azure AD）やOktaなどのID管理基盤に統合し、ログインの利便性を高める。SSOに組み込まれていないツールは「未管理」として自動的に可視化される仕組みを整えることで、新たなシャドーITの早期発見にも繋がります。
利用ガイドラインの整備: 「このデータまでは扱って良い」という明確なルールを周知する。ガイドラインは禁止事項の列挙ではなく、「どうすれば安全に使えるか」を示す形式にすると現場に受け入れられやすくなります。
発見したツールを適切に公認化しガバナンスを維持するためには、情シスが直面するSaaS管理の具体的な課題と効率化に導く実践策をあらかじめ把握しておくことが重要です。
▲ 発見したシャドーITの処遇を決定する評価・判断フロー
▲ 安全な「サンクションIT（公認IT）」へ現場を誘導する3ステップ
安心・安全なIT環境を構築するための継続的な監視
シャドーITの発見は一度きりの作業ではなく、定期的な監査と継続的なモニタリングが必要なプロセスです。SaaSの利便性は日々向上しており、新たなシャドーITは常に生まれる可能性があることを前提とした運用を心がけましょう。
シャドーITを完全にゼロにすることは困難ですが、発見と対話を繰り返すことで、組織全体のセキュリティリテラシーは確実に向上します。情シスが「取り締まり役」ではなく、現場の生産性を支える「パートナー」として振る舞うことが、結果として最も堅牢なガバナンス体制の構築に繋がります。
まずは、経理部門から直近3ヶ月分の「クレジットカード利用明細」または「経費精算データ」を共有してもらい、IT関連のキーワード（SaaS名や決済代行社名）でフィルタリングして、情シスが把握していない支払いがないか確認してみましょう。
このような手作業での確認も有効ですが、継続的な監視には専門ツールの活用も検討する価値があります。 退職者のアカウント削除漏れや、会社が把握していない「シャドーIT」の利用は、重大なセキュリティリスクにつながります。SaaS管理プラットフォーム「マネーフォワード Admina」なら、不要なアカウントや未許可のSaaS利用を自動で検知。リスクの芽を摘み、安心・安全なSaaS利用環境を構築できます。まずは14日間の無料トライアルで、Adminaの効果をご体感ください。
継続的な監視の第一歩として、まずはSaaS棚卸しの進め方と効果的なツールの比較を参考に、社内に存在するツールの棚卸し業務をシステム化してみることをお勧めします。
最新の課題：シャドーAI
シャドーIT検知の延長線上で、近年急増しているのが「シャドーAI」（管理外の生成AI利用）です。
AdminaのシャドーAI管理プラットフォームは、ChatGPT・Claude・Cursor等200以上のAIサービスへのブラウザアクセスを検知できます。
生成AIの業務利用を安全に推進したいとお考えの方は、急増するシャドーAIへの実効的な対策とSaaS管理によるガバナンス構築手法を詳しく解説したこちらの記事もぜひご覧ください。
よくある質問（FAQ）
Q. 無料ツールのシャドーITはどう検知する？
経費精算データでは無料ツールは捕捉できません。ネットワークプロキシのログ分析やCASBによるドメイン監視、あるいは従業員アンケートを組み合わせることで、無料SaaSの利用実態を把握できます。MDMを導入している場合は端末上のアプリ一覧からも発見できます。
Q. CASBと資産管理ツールはどちらを先に導入すべき？
まず資産管理ツール（エンドポイント管理）を導入してPCへのインストール状況を把握し、その後クラウド通信の監視を目的にCASBを追加導入するステップが費用対効果の面で現実的です。テレワーク比率が高い組織ではCASBを優先する判断もあります。
Q. 従業員に周知せず監視してよいか？
業務端末の通信ログ取得は多くの場合、就業規則や情報セキュリティポリシーで許容されていますが、従業員への事前周知なしに監視を行うことは信頼関係を損ない、労務上のトラブルにも発展しかねません。監視の目的・範囲・取得情報の利用方法を明記したポリシーを整備し、全従業員に周知した上で運用することを推奨します。
まとめ
まとめ：シャドーIT検知から継続管理まで
シャドーIT（シャドウIT）の検知は、単一の手法ではなく複数のアプローチを組み合わせることが効果的です。ネットワークログ分析・CASB・IT資産管理ツール・経費チェック・従業員アンケートの5つを状況に応じて使い分け、発見後は即禁止ではなく「評価→サンクション化→継続監視」のサイクルを回すことが、組織全体のセキュリティ底上げと現場の生産性維持を両立させる近道です。
✅ 今すぐ取り組めるアクションチェックリスト
✅ 経費精算データで直近3ヶ月のIT関連支払いを棚卸しした
✅ プロキシログまたはファイアウォールログから未承認ドメインへのアクセスを抽出した
✅ 端末の資産管理ツールで未許可アプリのインストール状況を確認した
✅ 発見したツールをセキュリティ要件・業務必要性の2軸で評価した
✅ 安全と判断したツールをSSO（Microsoft Entra ID / Okta等）へ組み込んだ
✅ 利用ガイドラインを整備し、全従業員に周知した
✅ 定期監査のスケジュール（四半期ごと等）を設定し、継続的な監視体制を構築した
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
