社内の「シャドーIT」を洗い出す方法

シャドーIT とは、会社が把握していないまま、社員が業務で使っているツールやサービスのことです。

• 個人のGoogleドライブに業務ファイルを置いている
• 部署の判断で契約したクラウドサービス
• 個人のLINEで取引先とやり取りしている
• 便利そうな無料ツールに、顧客リストをアップロードして加工した

どれも悪意はありません。むしろ「仕事を早く進めたい」という善意から生まれます。だからこそ厄介です。今日は、洗い出しと対処の方法を整理します。

なぜ問題なのか

1. 退職時に回収できない

個人アカウントに置かれたデータは、会社に消去を求める権利がありません。退職と同時に、そのまま持ち出されます。

2. 情報漏洩が起きても気づけない

会社が把握していないサービスは、監視も監査もできません。流出しても、誰も気づきません。

3. 契約が個人に紐づく

担当者が退職した瞬間、サービスが使えなくなることがあります。支払いが個人のカードだった、というケースも。

4. 生成AIへの入力

近年増えているのがこれです。顧客情報や機密文書を、無料のAIサービスに貼り付ける——サービスによっては、入力内容が学習に使われる可能性があります。

洗い出しの方法

方法1：経費精算を見る（最も確実）

個人のカードで支払われたサブスクは、経費精算に現れます。過去1年分を見返してみてください。

• 月額数百〜数千円の海外サービス
• 「◯◯ Pro」「◯◯ Premium」といった名称

経理データは、シャドーITの一次資料です。

方法2：無記名アンケートを取る

「使っているものを正直に書いてください。責めません」と明言したうえで、無記名で集めます。

質問例：

• 業務で使っている、会社が用意していないツールはありますか
• 業務ファイルを個人のクラウドに置いたことがありますか
• 取引先と、個人のLINE等でやり取りしていますか

責めない姿勢が伝わらないと、正直な回答は集まりません。 ここが成否を分けます。

方法3：ネットワークのログを見る

企業向けのファイアウォールやプロキシがあれば、どのサービスへの通信があるかが分かります。技術的には最も網羅的ですが、中小企業では設備がないことも多いでしょう。

方法4：ブラウザのブックマークを聞く

意外と有効です。「よく使うサイトのブックマークを見せてください」と頼むと、普段使っているツールが分かります。

見つけた後の対応

禁止するだけでは解決しません。 シャドーITは「必要だから使われている」からです。禁止すれば、より見えない形に潜ります。

ステップ1：なぜ使っているかを聞く

• 「会社のツールでは、この作業ができない」
• 「承認を待っていると間に合わない」
• 「単に便利だから」

業務上の必要から生まれたものは、代替を用意しないと止まりません。

ステップ2：3つに仕分ける

「正式採用」という選択肢を持つことが重要です。現場が見つけた良いツールは、会社にとっても有用なことが多いのです。

ステップ3：申請の仕組みを軽くする

シャドーITが生まれる最大の理由は、正式な手続きが重いからです。

• 「新しいツールを使いたい」と気軽に相談できる窓口を作る
• 判断を早くする（1ヶ月待たせない）
• 少額なら部署判断で可、ただし届出は必須というルールにする

完全な自由も、完全な禁止も機能しません。 「届け出れば使える」が現実的な着地点です。

生成AIへの対応は特に急ぐ

現在、最も急いでルールを決めるべき領域です。

• どのサービスなら使ってよいかを明示する
• 入力してはいけない情報を具体的に決める（顧客名、個人情報、未公開の契約内容など）
• 法人向けプラン（入力が学習に使われない契約）の導入を検討する

「使うな」だけでは守られません。「これなら使っていい」を示すことが必要です。

洗い出しと運用設計、ご相談ください

「そもそも何が使われているか分からない」「禁止すべきか、認めるべきか判断がつかない」——こうしたご相談を承っています。

BULLCOM Security では、シャドーITの洗い出しと、利用ルールの策定をご支援しています。あわせて、社員向けの講習（座学 ¥49,800〜）で「なぜ届け出が必要か」を伝えるところからお手伝いできます。

現場を敵に回さない形で進めることが大切です。まずは現状をお聞かせください。お気軽にご相談ください。