シャドーITとは？しゃどーあいてぃー
シャドーITとは、情報システム部門の把握や承認を経ずに、業務で使われている端末・ソフトウェア・クラウドサービス。統制の外にあるため、退職者のアカウントが残る、共有リンクが公開のまま放置されるといった穴を、組織が検知できないまま抱え込むことになる。対策は禁止だけで終わらせず、正規の代替手段の提供と利用状況の可視化を対にする。
最終更新：2026-10-06
この語が出る過去問を解く →背景
無料で即日使えるSaaSが増え、現場が自分でツールを選べるようになった一方、調達と審査の手続は数週間かかる。この速度差が、承認を待たずに使い始める動機を生む。禁止だけでは動機が消えないため、代替の提供と申請の軽量化を組み合わせるのが定石であり、PMは協力会社を含む体制図を描く段階でこの穴を潰しておく必要がある。
具体例
社内の共有基盤はあるが、協力会社との調整が速いという理由で、メンバーが個人契約のオンラインストレージやチャットで設計書をやり取りする。プロジェクト終了後もその領域だけ棚卸しの対象から漏れ、成果物の所在が追えなくなる。
試験での引っ掛け
会社が制度として私物端末の業務利用を認めていればBYODであり、シャドーITではない。分かれ目は端末の所有者ではなく、組織が把握・承認しているかどうか。逆に会社支給の端末に無断でツールを入れれば、それはシャドーITに当たる。
関連用語
出た過去問
出典：平成28年度 春期 プロジェクトマネージャ試験 午前Ⅱ 問24（IPA）
シャドーITに該当するものはどれか。
正解：IT部門の公式な許可を得ずに,従業員又は部門が業務に利用しているデバイスやクラウドサービス
要点：シャドーITはIT部門の承認なく業務利用される機器やサービス
シャドーITとは、IT部門の把握や承認を経ずに、従業員や部門が業務のために独自に導入・利用しているデバイスやクラウドサービスを指す。組織のセキュリティポリシーや監査の対象外となるため、情報漏えいや管理不能な資産の増加といったリスクの温床になる。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (4) 脆弱性に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。