ITガバナンス 2026年2月22日

シャドーITが起きる原因と対策 ― 社員が勝手にSaaSを契約する問題にどう対処するか

営業部がいつの間にかファイル共有サービスを契約していた。マーケティング部が勝手にデザインツールのアカウントを作っていた ― いわゆる「シャドーIT」は、中小企業で非常に多く見られる現象です。

本記事では、シャドーITが起きる本質的な原因を分析し、「禁止」ではなく「管理可能な状態に持ち込む」ための対策を解説します。

シャドーITの実態

一般的な中小企業（従業員100名程度）で実際に使われているSaaSの数は、情シスが把握している数の3〜5倍と言われています。無料プランや個人のクレジットカードで契約されたサービスは、IT部門の管理台帳に載っていません。

「新しいツールの導入に2週間の稟議が必要」「情シスに相談しても『セキュリティ上の理由で不可』と言われるだけ」― 現場にとって正規のプロセスがハードルになっている場合、手っ取り早く自分で契約してしまいます。

会社が提供するITツールが現場の業務ニーズに合っていない場合、社員は自力で解決しようとします。特にデザイン、マーケティング、プロジェクト管理などの領域で顕著です。

そもそも情シスに「新しいツールの評価・導入」に割くリソースがなく、問い合わせに対応できないケースもあります。ひとり情シスの状態では、現場の要望に応えるのは物理的に困難です。

「会社が認めていないSaaSは使用禁止」と通達しても、シャドーITはなくなりません。むしろ、使っていることを隠すようになり、リスクが地下に潜るだけです。

必要なのは「禁止」ではなく、「安全に使える仕組み」を作ることです。

まず現状を把握します。全部門に対してアンケートやヒアリングを行い、使用しているSaaSを洗い出します。合わせて、ネットワークのDNSログやプロキシログからアクセス先のドメインを分析し、把握漏れを補完します。

新しいSaaSの導入申請を「1週間以内に回答する」と明示し、申請フォームもシンプルにします。「禁止」ではなく「すぐに対応してくれる」という信頼を作ることで、正規ルートの利用を促進します。

業務カテゴリ（コミュニケーション、ファイル共有、プロジェクト管理、デザイン等）ごとに、会社が推奨するSaaSを選定し、法人契約で提供します。法人契約であれば、SSO連携、管理者コンソール、データの保持ポリシーが適用でき、セキュリティリスクが大幅に低減します。

Entra IDやGoogle WorkspaceのSSO機能を使い、承認済みのSaaSにのみSSOでアクセスできる環境を構築します。未承認のSaaSはSSOの対象外となるため、自然に利用が抑制されます。

四半期に1回、SaaS台帳の更新と不要サービスの棚卸しを行います。利用されていないサービスの契約を解除することで、コスト最適化にもつながります。

シャドーITは「便利だから」で済む問題ではありません。会社が管理していないサービスに業務データが保存されると、退職時のデータ回収が困難になり、個人情報保護法の安全管理措置の義務を果たせなくなり、セキュリティインシデント発生時に影響範囲を特定できないといった深刻な問題を引き起こします。

情シス365では、SaaS棚卸しの実施、SaaS管理台帳の整備、SSO環境の構築を支援しています。60分無料相談をご利用ください。