Contact
会社が把握していないIT利用（シャドーIT）を見つけ出し、現場を止めずに整えていく手順を解説します。
シャドーITは、悪意のある社員が作り出すものではありません。その大半は、目の前の仕事を前に進めようとした結果として生まれます。
会社が用意した手段では間に合わない場面があり、その穴を埋めるために個人のクラウドストレージや無料の変換サイトが使われる。つまり、シャドーITが見つかった場所は、業務が詰まっている場所でもあります。
正直なところ、「うちにそんなものは一つもない」と言い切れる会社はほとんどありません。腰を据えて調べれば、たいてい何かしら出てきます。本当の問題は、出てきたときにどう扱うかです。
この記事のポイント
- シャドーITとは、会社が把握・承認していないサービスや機器を業務で使っている状態のことです。個人名義のクラウドストレージ、私用のチャットアプリ、無料のファイル変換サイト、私物のモバイルルーターやUSBメモリ。いずれも「便利だったから」「そうしないと終わらなかったから」という善意から始まるため、取り締まりの発想だけでは減らないという厄介さがあります。
- 見つけ方は三方向から攻めます。通信の記録から「どこへつながっているか」、経費精算やカード明細から「誰が払っているか」、そしてヒアリングから「なぜ必要だったのか」。技術的な調査だけでは社外での利用を取りこぼし、お金の調査だけでは無料プランを取りこぼします。三つを重ねて初めて輪郭が見えてきます。
- 名古屋・愛知では、市内のビルに本社を置き、郊外に工場や倉庫、県内外に営業所や店舗を持つ会社が目立ちます。本社の会議室で決めたルールが、通信環境の事情が異なる現場では実行できず、私物の機器で回してしまう。この本社と現場のずれが、多拠点の会社でシャドーITが生まれる典型的な入口になっています。
この記事の結論
一言で言うと、シャドーITは「取り締まる対象」ではなく「現場から上がってきた業務要件の申告」として読むものです。何が使われていたかより、なぜそれが必要になったかのほうに、はるかに多くの情報が含まれています。
最も重要なのは、探し始める前に受け皿を決めておくことです。見つけたときに提示できる正式な代わりの手段がなければ、担当者は「見つけたのに止められない」という一番苦しい立場に立たされます。順番を間違えないでください。
失敗しないためには、全面禁止から入らないことです。禁止は業務を止める力を持ちません。持っているのは、見えなくする力だけです。使ってよいもの、条件付きで使えるもの、使ってはいけないものを分け、禁止を最小限に絞る。この設計ができている会社ほど、現場からの申告が自然に集まるようになります。
「うちには無いはず」から一歩も進めないまま、時間だけが過ぎていく
通達を一度流して、それで対応済みにしてしまう
よくあるのが、他社の情報漏えいがニュースになったタイミングで「個人のクラウドサービスの業務利用を禁止します」という一斉メールを流し、それで済ませてしまうパターンです。
たしかに数週間は静かになります。ただ、静かになったのは利用が止まったからではなく、見えにくくなっただけということが少なくありません。禁止された側は上長に相談せずに使うようになり、以前なら雑談で出ていた「あのサイト、便利ですよ」という会話が消え、会社が把握できる情報はむしろ減ります。
通達そのものが悪いわけではありません。順番が逆なのです。代わりの手段を示さないまま禁止だけを出しても、業務は止められないので、単に地下へ潜るだけになります。
現場から出てくるのは「そうしないと終わらない」という言葉
実際にヒアリングをすると、返ってくる言葉はだいたい決まっています。「メールに添付できないサイズだった」「取引先から指定された」「社内のパソコンでは開けない形式だった」「外出先から資料を見る方法が、これしかなかった」。
実は、この一つひとつがそのまま業務要件です。大容量ファイルを社外とやり取りする必要がある。取引先の使うツールに合わせる必要がある。ファイル形式の変換が日常的に発生している。社外から社内の情報を参照する場面がある。言い換えるだけで、会社が用意すべき機能の一覧になります。
シャドーITの一覧表は、裏返せば情報システムへの要望書です。この読み替えができるかどうかで、その後の打ち手はまったく違うものになります。
調べたら出てきそうで怖い、という担当者の本音
ひとり情シスや総務兼任の担当者からは、「調べたら大量に出てきそうで、そもそも着手できない」という相談をよく受けます。
気持ちはよく分かります。見つけてしまえば対応する責任が生まれる。止めれば現場から反発が来て、放置すれば自分の管理責任になる。どちらに転んでも自分が矢面に立つ構図です。加えて、上に報告した瞬間に「なぜ今まで放置していたのか」と問われるのではないか、という不安もつきまといます。
ただし、見つからないことと存在しないことは違います。先に自分で見つけた場合、止めるか、条件を付けて残すか、正式に採用するかを選べます。事故が起きたあとに見つかった場合、選べるものは一つもありません。この差は決定的です。
シャドーITを見つける三つの入口
基準1：通信の記録から「どこへ出ているか」を洗い出す
ログとは、機器が自動的に残している通信の履歴のことです。ルーターやファイアウォール、社内から外部へ出る通信をまとめる機器などが、いつ・どの端末が・どの宛先へつながったかを記録しています。
全部を読む必要はありません。見るべきは宛先の単位でまとめた集計です。一定期間の通信を宛先ごとに数え、多い順に並べる。そのうえで、会社が正式に採用しているサービス以外で上位に来ているものを拾い上げます。個人向けのクラウドストレージ、大容量ファイルの転送サービス、無料のPDF変換や画像変換のサイト、社内で採用していないチャットや翻訳のサービス。この作業だけで、想像より多くのものが浮かび上がってきます。
ただし、この方法には明確な限界があります。社内の回線を通らない通信は記録に残りません。在宅勤務中の自宅回線、外出先の公衆無線、私物スマートフォンのモバイル回線やテザリング。ここを通った利用は、社内のログをいくら見ても出てきません。ログで分かるのは、あくまで社内から出た分だけです。
もう一点、慎重に扱いたいのが従業員のプライバシーです。誰がどこへつないだかという情報は、扱い方によっては監視にあたる面を持ちます。取得の目的をあらかじめ社内規程や就業規則で明示し、閲覧できる人を限定する。個人情報保護法をはじめとする制度は変わる前提で考える必要があるため、最新の要件は所管省庁の公式情報や専門家に確認してください。
基準2：お金の流れから「誰が払っているか」を追う
技術的な記録に映らないシャドーITでも、支払いには跡が残ります。ここが二つ目の入口です。
見るのは、クレジットカードの明細に並ぶ少額の月額課金、経費精算に上がってくる「ソフト利用料」「サブスクリプション」といった曖昧な名目、そして部署の裁量予算で購入された機器の伝票です。金額が小さいほど承認は通りやすく、通ったあとは誰も見返しません。実は、月に千円台の課金が部署ごとに積み上がっているケースは珍しくありません。
この方法にも限界があります。無料プランには金銭の記録が残らないからです。無料のファイル変換サイトや無料枠のストレージは、経理側からはまったく見えません。だからこそ、ログとお金の両方が要ります。
仕組みとして効くのは、経理と情報システム担当のあいだに定期的な情報の行き来を作ることです。ケースによりますが、月次でIT関連の少額支出を一覧にして共有するだけで、見え方はかなり変わります。この断絶が続く限り、契約も解約も誰も把握していないサービスが増え続けます。
基準3：ヒアリングで「なぜ必要だったのか」を聞く
最後は人に聞く方法です。地味ですが、三つのなかで最も多くの情報が取れます。ただし、聞き方で結果がまるで変わります。
「勝手なサービスを使っていませんか」と聞けば、答えは「使っていません」です。聞くべきは困りごとのほうです。「大きいファイルを社外に送るとき、どうしていますか」「取引先から使うように指定されたツールはありますか」「社外から社内の資料を見たい場面はありますか」「私物の機器を業務で使う場面はありますか」。行為ではなく場面を尋ねると、素直な答えが返ってきます。
そのうえで、犯人探しではないことを先に宣言してください。ケースによりますが、一定期間は申告しても不利益な扱いをしないと明言してから棚卸しを行うと、集まる情報の量が変わります。最初の一件を厳しく処分すれば、二件目以降の申告は止まります。
物理的な確認も忘れないでください。工場や倉庫、店舗のバックヤードには、いつ誰が置いたのか分からない小型の無線ルーターや、後から足されたスイッチ、私物の外付けハードディスクが残っていることがあります。フロアを歩いて目で確かめる原始的な棚卸しは、いまも有効です。
見つけたあとの運用と、名古屋の現場事情
禁止の前に、公式の代わりを先に置く
原則は単純です。一つ止めるなら、一つ代わりを出す。これだけです。
大容量ファイルの受け渡しには、会社として契約した共有手段や期限付きの共有リンクを用意する。ファイル変換のために外部サイトへ資料を投げる運用をやめさせたいなら、社内で完結する手段か、許可したツールを示す。私用チャットを止めるなら、業務用のチャットを配る。外出先からの参照が必要なら、社外からでも安全に社内へ入れる仕組みを整える。ここでよく挙がるのが、社内にいるかどうかで判断せず、利用者と端末を毎回確かめて必要な範囲だけを通すという考え方です。
そのうえで、見つけたものを三つに仕分けます。公式に採用するもの。用途やデータの種類を限定して条件付きで許可するもの。そして禁止するもの。大事なのは、三つ目をできるだけ小さくすることです。禁止が長いリストになるほど、誰も読まなくなります。
ルールは短く書いてください。読まれない規程は、無いのとほぼ同じです。分厚い文書より、「どの種類の情報を、どこに置いてよいか」を一枚にまとめた表のほうが、現場では確実に機能します。
名古屋・愛知に多い多拠点構成と、現場ごとの事情の違い
名古屋市内のオフィスビルに本社を構え、郊外に工場や倉庫を持ち、県内外に営業所や店舗を展開する。愛知圏では見慣れた構成です。
この形だと、本社基準のルールが現場で実行できないという事態が起きやすくなります。工場では有線の配線が届かない場所に端末を置きたい。倉庫では棚の奥まで無線が届かない。店舗のバックヤードには情報コンセントが無い。そこで現場は、私物のモバイルルーターやスマートフォンのテザリングで業務を回します。悪意ではありません。業務を止めないための現場判断です。
築年数の経った建物では、配線の増設に手間と時間がかかる事情もあります。正規の手段を頼むと待たされる。だから自分で買ってくる。この流れがシャドーITの温床になります。なお、電気工事や電気通信設備の工事には有資格者による施工が必要な範囲があり、無線機器の設置にも関係する法令があります。制度は変わる前提で考え、最新の要件は所管省庁や公式情報で確認してください。
打ち手としては、拠点ごとに「何が足りていないか」を聞き取ることに尽きます。本社の会議室でルールを作る前に、現場の通信環境を見る。順番はここでも同じです。
どこまで自社でやり、どこから外部に頼むか
自社でやるべきなのは、現状の把握と業務要件の言語化です。どの部署が何に困っているか、どの種類のデータが外に出ているか、どのルールを優先するか。これらは社外の誰にも分かりません。ここを持たずに相談すると、話が一般論で終わります。
外部に任せたいのは、仕組みで支える部分です。通信の記録を取得して集計する環境の整備、機器の設定と更新、無線環境の測定と設計、配線や電源の工事、そして端末管理の仕組みの導入。端末管理とは、会社が配った端末の設定やアプリを一元的に管理し、紛失時に遠隔で操作できるようにするものです。
境目はこう考えると分かりやすくなります。「事実と要望を集める」までが自社、「仕組みで支える」からが外部。この線引きができていると、外部に依頼したときの見積もりも精度が上がります。
こういう会社は今すぐシャドーITの棚卸しをすべき
- 個人所有のスマートフォンやパソコンで業務メールや業務ファイルを扱っているが、その扱い方をルールとして文書化していない
- 大容量ファイルの受け渡し方法を会社として決めておらず、部署ごと、担当者ごとに違う方法で送っている
- 在宅勤務や外出先での作業が定着したのに、社外から社内の資料を見るための正式な手段を用意していない
- 通信の記録をそもそも取っていない、または取ってはいるが一度も中身を見たことがない
- 工場・倉庫・店舗など本社から離れた場所に、誰が設置して誰が設定したか分からない通信機器が置かれている
- 退職者が出たときに、その人が業務で使っていた外部サービスのアカウントを止める手順が決まっていない
ひとつでも当てはまるなら、まずは一週間、部署ごとに「大きいファイルをどう送っているか」を聞いて回るところから始めてください。棚卸しは、誰かを処分するための作業ではありません。会社として何を用意すべきかを決めるための、材料集めです。
よくある質問
Q1. シャドーITは全部禁止すべきですか？
全部を禁止する必要はありません。危険度は中身によって大きく違うからです。顧客情報や図面が外部の個人アカウントに置かれている状態は急いで止めるべきですが、社内向け資料を整形するだけの用途なら、代わりを用意して移行すれば足ります。仕分けをしてから禁止の範囲を決めてください。
Q2. 何から手をつければよいですか？
情報の重さで優先順位をつけるのが早道です。顧客の個人情報、取引先から預かったデータ、設計や原価に関わる情報。この三つがどこに置かれているかを最初に確認します。全部を一度に洗い出そうとすると終わりが見えません。
Q3. 従業員の通信の記録を見ることに問題はありませんか？
目的と手続きを整えていれば実施できますが、無条件ではありません。取得の目的を社内規程や就業規則で事前に明示し、閲覧できる人を限定し、個人を特定する範囲を必要最小限にとどめるのが基本です。関連する制度は変わる前提で考える必要があるため、実施前に所管省庁の公式情報や専門家に確認してください。
Q4. 無料のサービスは何が危険なのですか？
無料であることそのものより、契約と管理が存在しない点が問題になります。個人が同意した規約を会社は知らず、アップロードしたデータの扱いも確認できません。事故が起きても会社としての問い合わせ先がなく、その人が退職すればアカウントごと追跡できなくなります。
Q5. 私物のスマートフォンの業務利用はやめさせるべきですか？
やめさせるかどうかより、ルールを決めるかどうかが先です。ケースによりますが、私物利用を一律に禁止すると、外出の多い職種では業務が回らなくなることがあります。扱ってよい情報の範囲、画面ロックなど最低限の設定、紛失時の連絡手順、退職時の扱い。この四点を決めるだけでも状況は変わります。
Q6. 現場に私物のルーターやモバイルルーターが持ち込まれています。
まず、なぜ必要になったのかを聞いてください。多くの場合、その場所に正規の通信手段が届いていないという事実の裏返しです。設定内容や暗号化の状態が分からない機器が社内網につながっている状態は望ましくないため、恒久的な回線や無線環境の整備とセットで解消するのが本筋になります。
Q7. 一度整理したあと、どう維持すればよいですか？
新しいサービスを使い始めるときの申請窓口を、簡単に使える形で用意しておくことです。手続きが重いと、また黙って使われます。あわせて、年に一度は棚卸しを繰り返し、入社・退職・部署異動のタイミングでアカウントを見直す運用を決めておくと、増え方が緩やかになります。
まとめ
シャドーITは、規律の問題である前に、業務設計の問題です。会社が用意した手段で仕事が完結していれば、わざわざ個人アカウントを使う理由はありません。使われているという事実は、どこかに穴が開いているという合図です。
見つけ方は三つ。通信の記録で「どこへ出ているか」、お金の流れで「誰が払っているか」、ヒアリングで「なぜ必要だったのか」。どれか一つでは必ず取りこぼしが出ます。三つを重ねて、初めて全体像に近づきます。
そして、見つけたあとの態度がすべてを決めます。処分から入れば申告は止まり、代わりを出せば申告は集まる。禁止のリストを短く保ち、公式の手段を先に置く。この順番を守れている会社ほど、現場との関係を壊さずに整理を進められています。
名古屋・愛知のように本社と工場、店舗を抱える構成なら、現場ごとに事情が違うことを前提に置いてください。本社の会議室で決めたルールが、通信環境の整っていない現場でそのまま通ることはまずありません。まずはどの部署に、どんな困りごとがあるかを聞きに行きますか？
法人ネットワーク構築とは何か｜遅い・不安定を生む原因と設計構造の全体像を整理
ネットワークの遅さや不安定さは、回線だけでなく機器の配置や設計構造に原因があることも少なくありません。法人ネットワーク構築の基本から、トラブルを防ぐ設計の考え方まで詳しく解説しています。
▶︎法人ネットワーク構築とは何か｜遅い・不安定を生む原因と設計構造の全体像を整理
法人ネットワークのお悩み別に詳しく解説
ネットワークの遅さ、高速通信の導入、VLAN・冗長化、Wi-Fi環境、セキュリティ、運用体制など、課題に合わせて詳しく解説しています。気になるテーマからご覧ください。
👉ネットワークが遅い原因を構造から理解したい
👉高速通信（10G・Wi-Fi7の導入を検討したい）
👉VLANや冗長化など設計の考え方を理解したい
👉Wi-Fiや現場環境の最適化を考えたい
👉セキュリティや監視体制を見直したい
👉情シスや運用体制そのものを見直したい
💻 IT・通信に関するご相談はこちら
「業務効率を改善したい」
「通信環境を見直したい」
「自社に合うシステムを導入したい」
そんなお悩みはありませんか？
コムネットワーク株式会社では、
お客様の課題に合わせた最適なIT・通信ソリューションをご提案します。
まずはお気軽にご相談ください。
📞 フリーダイヤル：0120-56-9665
📞 TEL：052-533-0331
📠 FAX：052-533-0306
👉 お問い合わせはこちら
―――――――――――――――
👩💼 採用エントリー
新卒・中途ともに募集しています。
IT業界で活躍したい方はぜひご応募ください。
👉 エントリーはこちら
