用語集・組織のルールと規格
シャドーIT
Shadow IT
シャドーIT（Shadow IT）は、会社の管理部門の許可なく、社員や部署が業務に使っている機器、ソフトウェア、クラウドサービスのことである。
別の呼び方 シャドウIT、野良IT、無許可のクラウド利用
要点
- 意味 シャドーIT（Shadow IT）は、会社の管理部門の許可なく、社員や部署が業務に使っている機器、ソフトウェア、クラウドサービスのことです。
- 中小企業にとって 会社が把握していないサービスは、設定や更新、退職時のアカウント削除が誰の手にも届かない。
- このサイトでは 攻撃手法 2 種、事例 2 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
会社が把握していないサービスは、設定や更新、退職時のアカウント削除が誰の手にも届かない。
総務省は、個人で使ったファイル共有サービスの設定ミスで情報が漏れた事例があり、テレワークの普及で増えているとしている。
取り締まるより先に、使ってよいサービスと申請の手順を決めて周知し、便利な代わりの手段を会社として用意するとよい。
よくある誤解
- 誤解シャドーITは禁止を通知すればなくなる
- 実際総務省は、シャドーITを取り締まるのは難しく、まずはルールを決めて周知するところから始めるとしている。使ってよいサービスを示さないと、隠れた利用は続く。
- 誤解シャドーITは社員個人のこっそりした利用だけを指す
- 実際総務省は、事業部門の判断で情報システム部門が許可していないクラウドサービスを導入する例も、一種のシャドーITだとしている。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法クラウドの設定不備
許可なく使われるクラウドは個人が設定するため、このページの公開範囲の誤りなどが起きやすく、会社も気づきにくい。
- 攻撃手法内部不正
このページは退職予定者が個人のクラウドストレージへ情報を持ち出す例を挙げており、私的なサービスの業務利用はその経路になる。
- 事例イセトー
記録では受託データを取り扱ってはならないサーバに便宜的に保管しており、決められた場所以外でデータを扱うという点で同じ構図の問題である。
- 事例Log4Shell
記録ではどの製品に問題の部品が入っているかを各組織がすぐに洗い出せず、把握していないITがあると更新の判断もできないことを示している。
出典
- クラウドの設定ミス対策ガイドブック 総務省・2024-04
- テレワークセキュリティガイドライン 第5版 総務省・2021-05
- SP 800-215, Guide to a Secure Enterprise Network Landscape NIST・2022-11
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）