シャドーITとは？しゃどーあいてぃー
シャドーITとは、組織の承認や把握を経ずに、従業員が業務で使っている機器・ソフトウェア・クラウドサービス。統制の外側にあるため情報の持ち出しやマルウェアの侵入経路になり、事故が起きても記録が残らない。監査では、資産台帳に載っている範囲だけを見ても検出できないという、手続そのものの設計が問われる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
業務で使う道具を情報システム部門がすべて用意していた頃は、承認されていない道具は物理的にも入り込みにくかった。個人が無償のクラウドサービスを数分で使い始められるようになると、現場の利便と全社の統制が正面から対立するようになった。禁止だけで抑え込むと現場は隠して使うため、把握と代替手段の提供を組み合わせる方向が主流になっている。
具体例
会社が契約していないオンラインストレージへ業務ファイルを上げる、社外の文書変換サービスへ社内文書を貼り付けるといった使い方が典型である。監査人はMicrosoft Defender for Cloud Appsのような可視化製品やプロキシのログから未承認サービスへの通信を抽出し、利用実態と規程の周知状況を突合する。
試験での引っ掛け
私物端末の業務利用を会社が制度として認めているのはBYODであり、シャドーITではない。分かれ目は組織の把握と承認の有無であって、危険性の高さではない。また利用者への聞き取りだけでは実態は出てこないため、通信記録や購買記録といった独立した情報源から裏を取る必要がある。
関連用語
出た過去問
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問20（IPA）解説で登場
セキュリティ対策としてのCASBの利用方法とその効果はどれか。
正解：クラウドサービスカスタマーの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して利用状況の可視化を行うことによって、クラウドサービスを許可を得ずに利用している者を特定できる。
要点：CASBは利用者側でクラウド利用を可視化しシャドーITを特定する
CASBは、クラウドサービスの利用者側の組織と各種クラウドサービスの間に位置し、通信やAPI連携を通じて利用実態を把握・制御する仕組みである。中核となるのが可視化機能で、誰がどのクラウドを使っているかを洗い出せるため、情報システム部門の許可なく業務利用されているサービス、いわゆるシャドーITを特定できる。可視化のほか、ポリシー準拠の確認やデータ保護、脅威防御も担うが、いずれも利用者側の統制を目的とした機能である点を押さえたい。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (4) 脆弱性に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。