シャドーITとは？

シャドーITとは、従業員が、組織の許可や把握なしに業務で使用する機器・ソフトウェア・クラウドサービス。情報漏えいやマルウェア侵入の経路となり、統制が及ばない点が問題。

システム監査技術者試験の過去問では1回出題されています。

しゃどーあいてぃー

システム監査技術者試験の頻出用語／午前II

シャドーITの意味

従業員が、組織の許可や把握なしに業務で使用する機器・ソフトウェア・クラウドサービス。情報漏えいやマルウェア侵入の経路となり、統制が及ばない点が問題。

業務ファイルを個人契約のオンラインストレージへアップロードして共有する。

「私物端末の業務利用を会社が制度として認めている」のはBYODであってシャドーITではない。組織の把握・承認の有無が分かれ目。

セキュリティ対策としてのCASBの利用方法とその効果はどれか。
正解：クラウドサービスカスタマーの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して利用状況の可視化を行うことによって、クラウドサービスを許可を得ずに利用している者を特定できる。
要点：CASBは利用者側でクラウド利用を可視化しシャドーITを特定する
CASBは、クラウドサービスの利用者側の組織と各種クラウドサービスの間に位置し、通信やAPI連携を通じて利用実態を把握・制御する仕組みである。中核となるのが可視化機能で、誰がどのクラウドを使っているかを洗い出せるため、情報システム部門の許可なく業務利用されているサービス、いわゆるシャドーITを特定できる。可視化のほか、ポリシー準拠の確認やデータ保護、脅威防御も担うが、いずれも利用者側の統制を目的とした機能である点を押さえたい。
出典：令和7年度秋期システム監査技術者試験 am2 問20（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。