シャドーITとは？しゃどーあいてぃー
シャドーITとは、情報システム部門の承認や把握を経ずに、従業員が業務で使っている機器やクラウドサービス。台帳に載らないため、情報の持ち出し経路になっても検知できず、退職者のアカウントや公開設定の不備も管理の外に残り続ける。私物端末の業務利用を規程のもとで認めるBYODとは、承認の有無で線を引く。
最終更新：2026-10-06
この語が出る過去問を解く →背景
業務部門が必要とする道具の提供が追いつかないと、現場は自分で使える手段を探す。無料ですぐ使えるクラウドサービスとスマートフォンの普及で、調達を経ずに導入できる状態が常態化した。禁止だけでは業務が回らず、放置すれば資産管理も監査も成立しない——この対立をどう調停するかが、支援士の記述式で問われる典型の一つである。
具体例
可視化にはCASBが使われ、Microsoft Defender for Cloud AppsやNetskopeのような製品が、プロキシのログやサービス側のAPIから未承認サービスの利用実態を洗い出す。大容量ファイルの受渡しに個人契約のオンラインストレージが使われていた場合は、法人契約の代替を正式に用意したうえで旧経路を遮断する、という順序を取る。
試験での引っ掛け
遮断すれば解決、と書くのが誤り。必要な業務を満たす代替を示さずに塞ぐと、個人端末やテザリングなど、より見えない経路へ移るだけになる。可視化・正規の代替提供・規程と教育を組にした運用面の答えが求められる。承認済みのBYODや、把握されたうえで規程外の使い方をしている状態は、シャドーITとは分けて扱う。
関連用語
出た過去問
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）解説で登場
セキュリティ対策として,CASB(Cloud Access Security Broker)を利用した際の効果はどれか。
正解：クラウドサービス利用組織の管理者が,組織の利用者が利用している全てのクラウドサービスの利用状況の可視化を行うことによって,許可を得ずにクラウドサービスを利用している者を特定できる。
要点：CASBは利用側がクラウド利用を可視化・制御する仕組み
CASBは、利用者とクラウドサービスの間に位置して通信を可視化・制御する仕組みで、可視化、コンプライアンス、データセキュリティ、脅威防御の四つの機能が柱とされる。導入するのはクラウドを利用する側の組織であり、従業員がどのクラウドサービスをどう使っているかを把握できるため、情報システム部門が把握していないシャドーITの発見に有効である。クラウド事業者側の運用対策とは立場が異なる点に注意する。
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）解説で登場
セキュリティ対策として,CASB(Cloud Access Security Broker)を利用した際の効果はどれか。
正解：クラウドサービス利用組織の管理者が,従業員が利用しているクラウドサービスに対して,CASBを利用して利用状況の可視化を行うことによって,許可を得ずにクラウドサービスを利用している者を特定できる。
要点：CASBは利用状況の可視化でシャドーITを見つけ統制する
CASBは、利用者とクラウドサービスの間に位置し、通信を仲介または可視化することで、どの部署の誰がどのサービスをどう使っているかを把握し、統一した方針を適用する仕組みである。情報システム部門が把握していない、いわゆるシャドーITの発見と統制はその代表的な効果であり、可視化・コンプライアンス・データ保護・脅威防御の四つの柱で説明される。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）解説で登場
セキュリティ対策として、CASBを利用した際の効果はどれか。
正解：クラウドサービスカスタマの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して利用状況の可視化を行うことによって、許可を得ずにクラウドサービスを利用している者を特定できる。
要点：CASBはクラウド利用を可視化しシャドーITを把握できる
CASBは、利用者とクラウドサービスの間に位置し、通信を仲介または監視してクラウド利用を統制する仕組みである。どの部署の誰がどのサービスを使っているかを可視化できるため、情報システム部門が把握していない、いわゆるシャドーITの発見に有効である。可視化のほか、データ保護、脅威防御、コンプライアンス確認といった機能も提供される。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (4) 脆弱性に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。