シャドーITによる情報漏洩とは？クラウドサービスの事例と企業が実施すべき対策を解説

初回公開日：2023年10月19日

業務効率化のために、従業員が会社の許可を得ずにクラウドストレージやファイル共有サービス、生成AIなどを利用するケースが増えています。
これらのサービスを会社が把握できていない状態は「シャドーIT」と呼ばれ、情報漏洩や不正アクセスなどのセキュリティリスクにつながる恐れがあります。

シャドーIT対策では、利用を一律に禁止するのではなく、まずは利用実態を把握し、リスクを可視化したうえで適切に管理することが重要です。
本記事では、シャドーITによる情報漏洩事例をもとに、会社として取り組むべき対策や管理のポイントを解説します。

シャドーITの基本的な仕組みや発生する原因について詳しく知りたい方は、こちらの記事もあわせてご覧ください。
おすすめ
【関連記事】シャドーITとは？急増する原因やセキュリティリスクをわかりやすく解説

【関連資料のご紹介】

見えないITがもたらすリスクと可視化による対策の必要性

資料をダウンロード

１：シャドーITによる情報漏洩リスクと事例

シャドーITは、企業が把握・管理していないデバイスやクラウドサービスを指します。
業務効率化を目的として利用されるケースもありますが、管理が行き届かないことで、情報漏洩や不正アクセスなどのセキュリティリスクにつながる可能性があります。

ここでは、シャドーITが情報漏洩につながる理由や、実際に発生した事例について解説します。

シャドーITが情報漏洩につながる理由

シャドーITによる情報漏洩リスクが高まる大きな理由は、企業が利用実態を把握できず、適切なセキュリティ対策を実施できない点にあります。

たとえば、従業員が個人契約のクラウドストレージや許可されていないアプリケーションを利用した場合、企業側では保存されている情報やアクセス状況を確認できません。
また、個人の端末や企業が管理していないサービスでは、OSやソフトウェアの更新、パスワード管理、アクセス制御などが十分に行われていない可能性があります。

このような管理されていない環境が存在すると、不正アクセスや情報の持ち出しにつながるリスクが高まります。

個人PCの利用による情報漏洩事例

2024年7月、大手製薬会社では、海外の業務委託先の担当者が無許可で個人用ノートパソコンを業務に使用していたことが原因となり、約73万人分の個人情報が漏えいしたと公表しました。

このように、企業が把握していない個人端末やクラウドサービスの利用は、情報漏洩につながるリスクがあります。シャドーIT対策では、利用を禁止するだけではなく、まずは利用状況を把握し、適切に管理することが重要です。

クラウドサービスの管理不備による情報漏洩事例

2026年6月、ゲーム・アニメ事業を手がける制作会社は、発売前のゲームタイトルのマスターデータが海外のWebサイトへ無断で公開されたことを公表しました。
調査の結果、社内ポータルシステムで利用していたクラウドストレージの認証情報が第三者に窃取され、保存されていた社内情報が外部へ持ち出された可能性が高いとされています。

このように、クラウドサービスは利便性が高い一方で、認証情報の漏えいや設定ミスなどにより重要な情報が流出するリスクがあります。企業が把握していないクラウドサービスが存在すると、情報漏洩リスクは一層高まります。

情報漏洩が企業へ与える影響

情報漏洩が発生すると、企業は被害調査や原因究明、関係者への対応など、多くの負担を抱えることになります。また、個人情報や機密情報が流出した場合、取引先や顧客からの信頼低下につながり、事業継続にも影響を及ぼす可能性があります。
さらに、情報漏洩の原因が管理されていない端末やクラウドサービスの利用であった場合、企業のIT管理体制そのものが問われることになります。

そのため、シャドーIT対策では、利用されている端末やサービスを把握し、継続的に管理できる環境を整えることが重要です。

２：シャドーIT対策で企業が取り組むべきこと

シャドーITによる情報漏洩を防ぐためには、利用されている端末やクラウドサービスを把握し、適切に管理することが重要です。

ただし、従業員が利用しているすべてのデバイスやサービスを手作業で確認することは容易ではありません。そのため、IT資産管理ツールなどを活用し、社内で利用されているIT環境を可視化したうえで、必要に応じて制御する仕組みを整えることが求められます。

利用している端末やクラウドサービスを可視化する

シャドーIT対策の第一歩は、社内で利用されている端末やクラウドサービスを可視化することです。管理者が把握していない個人端末や、未許可のクラウドサービスが存在すると、情報漏洩リスクを正しく評価できません。
そのため、PCのOSやインストールされているソフトウェア情報だけでなく、利用されているクラウドサービスやWebアプリケーションも含めて、IT環境を可視化する必要があります。

利用ルールを整備し、従業員へ周知する

シャドーITは、従業員が悪意を持って利用しているとは限らず、業務効率化や利便性を目的として、企業が把握していないサービスを利用しているケースもあります。
そのため、一律に利用を禁止するだけではなく、利用可能なクラウドサービスや利用時のルールを明確にし、従業員へ周知することが重要です。
また、従業員が利用しているサービスを把握できる環境を整えることで、ルールに沿った適切な利用を促すことができます。

必要に応じて利用を制御する

社内で利用されている端末やクラウドサービスの利用状況を確認したうえで、セキュリティリスクが高いサービスや操作については、アクセス制限や利用制限などの対策を講じることも重要です。
例えば、機密情報のアップロードにつながる可能性があるクラウドサービスや、企業が許可していないアプリケーションなどについて、アクセス制限や利用制限を行うことで情報漏洩リスクを低減できます。

ただし、すべてのサービスを一律に禁止すると、業務効率の低下や管理外での利用につながる可能性があります。そのため、利用実態を確認したうえで適切な管理を行うことが大切です。

３：ISM CloudOneでシャドーIT対策を効率化

シャドーIT対策では、社内で利用されている端末やクラウドサービスを把握し、リスクに応じた管理を行うことが重要です。しかし、従業員が利用する端末やサービスが増加する中で、手作業による管理には限界があります。
ISM CloudOneでは、IT資産管理とセキュリティ対策を一つの管理画面で運用でき、シャドーIT対策を支援します。

端末情報を収集し、IT資産を可視化する

シャドーIT対策では、まず管理対象の端末の情報を把握し、適切に管理できる状態を整えることが重要です。
ISM CloudOneでは、クライアントプログラムをインストールした端末から、OS、ハードウェア、インストールされているソフトウェアなどの情報を収集できます。

管理画面から端末ごとの情報を確認できるため、端末の状況把握やソフトウェア管理の効率化を支援します。
詳しくはこちら
【ISM CloudOne】IT資産管理機能をみる

SaaSを含むクラウドサービスの利用状況を可視化する

シャドーIT対策では、従業員が利用しているSaaSやクラウドサービスの実態を把握し、適切に管理することが重要です。
ISM CloudOneでは、ログを活用してSaaSを含むクラウドサービスの利用状況を確認できます。また、対応しているクラウドストレージでは、操作ログを取得することで利用履歴を確認できます。
利用されているサービスを可視化することで、企業のセキュリティポリシーに沿った管理や、リスクへの対応を支援します。
詳しくはこちら
【ISM CloudOne】SaaSの利用状況を可視化

端末やソフトウェアのセキュリティ状態を確認する

シャドーIT対策では、利用されている端末やサービスを把握するだけでなく、端末のセキュリティ状態を確認することも重要です。
ISM CloudOneでは、管理対象端末のOSやソフトウェア情報を収集し、端末の状態を確認できます。また、脆弱性診断やソフトウェア管理、ログ管理などの機能により、セキュリティリスクの把握や対策を支援します。

シャドーIT対策では、まず社内で利用されている端末やクラウドサービスの実態を把握し、自社に合った運用ルールや管理方法を整備することが重要です。
ISM CloudOneの機能や活用方法について、詳しく知りたい方は資料をご覧ください。