シャドーIT対策の進め方｜情報漏洩を防ぐ「把握・代替・ルール化」の3ステップ

2026.11.02

セキュリティ

シャドーIT対策の進め方と情報漏洩を防ぐ3つのステップを解説する記事のアイキャッチ画像

「無料のファイル共有サービスは使わないよう通知したのに、まだ使われている」「退職者の私用クラウドに、業務資料が残っていたことが後から分かった」。情報システム部門では、こうした声がめずらしくありません。

会社が認めていないツールを、現場が自分の判断で業務に使うことをシャドーITと呼びます。情シスの管理の外で業務が進むため、情報漏洩が起きても気づきにくいのが特徴です。

2026年は、生成AIを無許可で使うシャドーAIも加わり、管理すべき範囲が広がっています。

この記事では、シャドーITが情報漏洩につながる仕組みと、禁止通知だけに頼らない対策の進め方を、情シス担当者向けに整理します。

✨ [要約] シャドーITとは、情報システム部門の許可や管理を経ずに業務で使われるITツールのことです。IPA「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれ、生成AIの無許可利用も管理の対象になりました。対策は禁止通知だけでなく、利用実態の把握、公式の代替手段の用意、ルール化の3ステップで進めるのが現実的です。

シャドーITとは？シャドーAIを含む2026年の定義と具体例

この節では、シャドーITの意味と身近な例、2026年に注目されているシャドーAIの動きを整理します。

🔎 ひとことで言うと

シャドーITとは、情シスの許可や管理を経ずに、業務で使われているIT機器やクラウドサービスのことです。

身近な例は、次の3つです。

私用クラウドストレージ	大きなファイルを取引先に渡すため、個人のアカウントで共有する
個人のチャット・メール	顧客との連絡に、私用のアプリを使う
無許可のリモートデスクトップ	テレワークの日に、無料ツールで自宅から会社PCに接続する

どれも、悪意から始まるものではありません。「早く仕事を片づけたい」という善意で広がる点が、シャドーITの難しいところです。

データで見る：シャドーAIも管理の対象に

2026年は、生成AIを無許可で業務に使うシャドーAIへの注目が高まっています。公的機関と民間の調査から、2つの数字を紹介します。

IPA 情報セキュリティ10大脅威 2026

組織向けの3位に初めて選出

3位

「AIの利用をめぐるサイバーリスク」が初めて選ばれました。7位には「内部不正による情報漏えい等」、8位には「リモートワーク等の環境や仕組みを狙った攻撃」が入っています。

IPAは、順位にかかわらず、選ばれた脅威にはもれなく対策を行うよう求めています。
出典：IPA「情報セキュリティ10大脅威 2026」　2026年1月29日公表

SIGNATE総研 AI活用実態調査

組織の管理外でAIを利用している

34.8%

管理外でAIを利用している回答者34.8%

生成AIへの活用意欲が高い層を対象にした調査です。対象が関心の高い層に限られるものの、現場の利用が管理より先に進んでいる様子がうかがえます。

出典：SIGNATE総研「AI活用実態調査レポート2025年12月版」　調査期間は2025年10月30日〜11月7日、回答632件

シャドーITが情報漏洩につながる3つの経路

この節では、管理の外にあるツールが、なぜ情報漏洩につながるのかを3つの経路で整理します。シャドーITの危険は、ツールの性能よりも、情シスの管理の外にあることから生まれます。

情シスから見えない

許可されていないツールは、情シスの管理画面に出てきません。どの情報がどこに保存され、誰がいつアクセスしたかが分からず、事故が起きても影響範囲を説明できません。

退職・異動のあとも残る

個人アカウントのサービスは、退職の手続きでは止められません。社内のIDを削除しても、私用クラウドの資料や、自宅から会社PCへつなぐ設定が残ることがあります。

攻撃者の入口になる

遠隔操作ソフトは便利な一方で、管理されていなければ攻撃者の通り道にもなります。情シスが把握していないソフトは、不審な接続に気づくのが遅れがちです。

遠隔操作ソフトの悪用は、実際の被害としても報告されています。警察庁によると、令和8年5月、企業への電話をきっかけに遠隔操作ソフトをインストールさせ、企業側の端末を遠隔操作して不正送金を行う新たな手口の被害が急増しました。会社が把握していない遠隔操作ソフトが入り込む余地を減らすことも、シャドーIT対策の一つです。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」　令和8年9月公表

禁止通知だけではシャドーITがなくならない理由

この節では、禁止の通知を出してもシャドーITが残り続ける理由を整理します。現場がシャドーITに頼るのは、たとえば次のような場面です。

テレワークの日に、会社PCにしかないファイルが必要になった
公式のファイル共有では、容量が足りなかった
取引先が使っているツールに合わせる必要があった

前の節で紹介したSIGNATE総研の調査でも、管理外でAIを使う理由として、業務効率や生産性の向上が挙がっています。あわせて、社内標準AIの機能不足や、申請フローの煩雑さへの不満も寄せられました。

代わりの手段がないまま禁止すると、利用は止まらず、さらに見えにくい場所へ移るだけです。

🎯 シャドーIT対策の出発点

現場が公式の手段で困らない状態をつくることです。「勝手に入れたほうが早い」状況をなくすことが近道です。

シャドーIT対策の3ステップ｜把握・代替・ルール化

この節では、情シスが取り組める対策を、把握・代替・ルール化の3ステップで紹介します。順番に進めることで、禁止に頼らずにシャドーITを減らしていけます。

STEP 1　把握する：利用実態を棚卸しする

部署ごとにアンケートを取り、プロキシやファイアウォールの通信ログで、未許可サービスへの通信を確認します。端末にインストールされているソフトも一覧にします。アンケートでは「使っていても責めない」と先に伝えると、回答が集まりやすくなります。

STEP 2　代替する：公式の手段を用意する

シャドーITが生まれた業務には、代わりになる公式ツールを用意します。あわせて、申請から利用開始までの手順をできるだけ短くし、「勝手に入れたほうが早い」状態をなくします。

STEP 3　ルール化する：基準と窓口を決める

使ってよいものと禁止するものを、理由とともに示します。新しいツールを使いたいときの申請窓口を一本化し、退職・異動のときにアカウントとアクセス権を確認する手順も決めておきます。

🔍 情シス向けシャドーIT対策チェックリスト

✅現場で使われているクラウド・チャット・リモート接続ツールを把握している
✅テレワークや外出先から、会社PCへ安全につなぐ公式の手段がある
✅新しいツールの申請窓口と、利用してよいかの判断基準が決まっている
✅退職・異動のときに、アカウントとアクセス権を確認する手順がある
✅生成AIの業務利用について、使ってよい範囲や禁止事項を定めている

RemoteViewを、まずは14日間無料でお試しください

▶ RemoteViewの14日間無料トライアルお申し込みはこちら

無許可のリモート接続をRemoteViewで置き換える

この節では、シャドーITの中でも身近な「自宅から会社PCへの無許可接続」を例に、RemoteViewで公式の手段に置き換える方法を紹介します。

テレワークの日に会社PCのファイルが必要になる、という需要ははっきりしています。無料ツールを禁止するだけでなく、会社として管理できるリモートアクセスを用意すれば、現場の便利さを保ったまま、接続を情シスの見える場所に移せます。

RemoteViewで管理できること

🔐

接続元と時間を制限する

許可したIPアドレスやMACアドレスからだけ接続できるようにし、アカウントを作成した国以外からのログインはブロックできます。ユーザーごとに、接続できる曜日・時間帯も設定できます。

ログイン二段階認証許可IP・MACアドレス設定海外IPログインブロック接続曜日・時間帯設定

📋

接続の記録を残す

遠隔接続の開始・終了時間、接続者、使用機器などが履歴として残り、セキュリティ監査や事後の確認に使えます。海外IPからのログインや遠隔制御の開始時に、管理者がメールで通知を受け取ることもできます。

接続履歴管理セキュリティ通知メール

🛡

情報の持ち出しを制御する

業務ファイルは会社のPCに置いたまま作業できます。コピー＆ペーストやファイル転送、手元のプリンターでの印刷を使うと手元にデータが残るため、管理者がユーザーごとに権限を設定して制限できます。

ユーザーの権限設定遠隔画面ロックウォーターマーク

現場にとっては、自宅から会社PCを使える便利さはそのままです。情シスにとっては、その接続がルールどおりに、記録の残る形で行われる状態になります。各機能の詳細は、RemoteViewのセキュリティ機能と管理者機能のページでご覧いただけます。

よくある質問（FAQ）

QシャドーITとシャドーAIはどう違いますか？

AシャドーITは、情シスの許可や管理を経ずに業務で使われるITツール全般を指します。シャドーAIはその一部で、生成AIを無許可で業務に使うことを指します。入力した業務情報がどこに保存され、どう扱われるかを会社が把握できない点は共通です。

QシャドーITの利用実態は、どう調べればよいですか？

A部署ごとのアンケート、プロキシやファイアウォールの通信ログの確認、端末にインストールされたソフトの一覧化の3つを組み合わせます。アンケートでは「使っていても責めない」と先に伝えると、実態に近い回答が集まりやすくなります。

Qテレワークの日に、社員が無料のリモートデスクトップツールで会社PCに接続するのは何が問題ですか？

A情シスが把握していないため、誰がいつ接続したかを確認できず、退職後も接続の設定が残ることがあります。遠隔操作ソフトは攻撃者に悪用されることもあり、管理外のツールが入っていると、不審な接続に気づくのが遅れます。会社として公式のリモートアクセス手段を用意し、接続の記録を残せる状態にすることが大切です。

Q画面転送型のリモートデスクトップなら、手元の端末にデータは残りませんか？

A業務ファイルそのものは会社のPCに置いたまま作業できます。ただし、コピー＆ペースト、ファイル転送、手元のプリンターでの印刷を使うと、手元の端末にデータが残ります。RemoteViewでは、管理者がユーザーごとにクリップボード、ファイル送受信、プリンターなどの権限を設定できます。