シャドーITとは？しゃどーあいてぃー
シャドーITとは、会社の承認や情報システム部門の把握を経ずに、従業員が業務へ持ち込んで使う機器やクラウドサービス。私物のスマートフォン、無料のファイル共有、個人契約のチャットなどが典型で、資産台帳に載らないため事故が起きるまで存在に気づけない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
業務に必要な道具が承認制で申請から利用開始まで時間がかかる一方、個人で使えるクラウドサービスは無料で即座に使える。この落差が大きい職場ほど、悪意ではなく「早く仕事を終わらせたい」という善意から利用が始まる。したがって禁止の通達だけでは減らず、正規の手段を使いやすくすることが対策の中心になる。試験でも人的脅威の一種として、罰ではなく仕組みで抑える発想が問われる。
具体例
Microsoft 365やGoogle Workspaceのように、管理者が利用状況を可視化し承認済みアプリだけにデータの持ち出しを許せる製品を、正規の道具として先に配ってしまうのが実際的な対策になる。あわせてCASB（Cloud Access Security Broker）で社内から接続されている外部サービスを一覧化し、定期的に棚卸しする。
試験での引っ掛け
BYODと取り違えない。BYODは私物端末の業務利用を会社が規程を定めて認める形で、シャドーITは会社が把握していないこと自体が本質。マルウェアのような技術的脅威ではなく、管理の外側で運用されている状態がリスクである。代替手段を用意せず禁止だけを重ねても、利用が見えないところへ潜るだけになる。
関連用語
出た過去問
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問16（IPA）
シャドーITに該当するものはどれか。
正解：IT部門の公式な許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス
要点：シャドーITはIT部門が把握していない業務利用の機器やサービス
シャドーITは、IT部門の承認を得ないまま従業員や部門が業務に使っている機器やクラウドサービスを指す。組織が把握できないため、脆弱性の放置や情報の外部保存が管理外で進み、漏えいの温床になる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問16（IPA）
業務への利用には，会社の情報システム部門の許可が本来は必要であるのに，その許可を得ずに勝手に利用されるデバイスやクラウドサービス，ソフトウェアを指す用語はどれか…
正解：シャドーIT
要点：シャドーITは無許可で業務利用される機器やサービス
シャドーITとは、情報システム部門の把握や承認を経ずに、従業員が業務のために勝手に使っている機器やクラウドサービス、ソフトウェアを指す。管理側が存在を知らないため、脆弱性管理もアクセス制御も及ばず、情報漏えいの温床になりやすい。悪意ではなく業務効率化の善意から生じることが多いのが特徴である。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）
シャドーITに該当するものはどれか。
正解：IT部門の許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービス
要点：シャドーITはIT部門の管理外で業務利用される機器やサービス
シャドーITとは、IT部門の承認や管理を経ずに従業員や部門が業務で使っている機器やクラウドサービスを指す。組織が把握していないため脆弱性管理もアクセス制御も及ばず、情報漏えいの温床になる。禁止だけでは利用が地下に潜るため、実態把握と代替となる正規サービスの提供が対策の要となる。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ 脆弱性に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。