シャドーIT発見の方法とは？無断契約SaaSを把握する対策

企業のクラウド活用が進む一方で、情報システム部門が把握していないSaaS利用、いわゆる「シャドーIT」が急速に拡大しています。現場の担当者が業務効率化のために個人判断でクラウドサービスを契約し、そのまま利用を続けているケースは珍しくありません。

しかし、こうした無断契約は情報漏洩やコンプライアンス違反といった重大なリスクにつながるだけでなく、コスト管理の面でも大きな問題を引き起こします。本記事では、シャドーITを発見するための具体的な方法と、発見後にとるべき対策手順について詳しく解説します。情シス担当者の方はもちろん、経営層やバックオフィス担当者にも役立つ内容です。

シャドーIT発見の方法が必要な理由

無断契約SaaSが招くセキュリティリスク

現場が独自の判断で契約したSaaSは、情報システム部門のセキュリティポリシーが適用されないまま運用されるケースがほとんどです。そのため、アクセス権限の管理が不十分だったり、多要素認証が設定されていなかったりと、脆弱な状態で機密情報が扱われるリスクが高まります。

特に問題となるのが、退職者のアカウントが放置されるケースです。情シスが把握していないサービスであれば、退職時にアカウントを削除する手続きが漏れ、情報漏洩の温床となり得ます。また、無断契約SaaSが海外のサーバーにデータを保存している場合、個人情報保護法などの規制に抵触する可能性も否定できません。

このようなリスクを踏まえ、IPA（情報処理推進機構）もクラウドサービス利用における統制の重要性を繰り返し発信しており、企業側の主体的な管理体制構築が求められています。

現場任せの契約が生む管理コストの増大

シャドーITは、セキュリティ面だけでなくコスト面でも企業に損失を与えます。部署ごとに似たような機能を持つSaaSを別々に契約していれば、当然ながら重複コストが発生します。全社的に契約を統合すれば大幅な割引が受けられるケースでも、現場任せの契約ではボリュームディスカウントの恩恵を受けられません。

さらに、契約更新のタイミングを現場担当者が個別に管理しているため、不要になったサービスがそのまま自動更新され続け、使われていないSaaSに費用を払い続けるという無駄も生じやすくなります。担当者の異動や退職によって契約内容の引き継ぎが行われず、誰も利用実態を把握できないまま費用だけが発生し続けるケースも少なくありません。

こうした無駄なコストを削減するには、全社のSaaS契約状況を可視化し、一元管理できる体制を整えることが不可欠です。

情シス担当者が抱える把握困難な現状

多くの情シス担当者は「自社にどれだけのSaaSが利用されているか正確に把握できていない」という悩みを抱えています。クラウドサービスは導入のハードルが低く、クレジットカード決済ひとつで数分で契約が完了するものも多いため、現場が情シスを通さずに独自に導入してしまうことが容易にできてしまいます。

特にリモートワークの普及により、従業員が個人のネットワーク環境から様々なクラウドサービスにアクセスするようになったことで、従来のネットワーク境界型のセキュリティ対策だけでは実態を把握しきれなくなっています。

このような状況を打開するには、後述するCASBツールの導入や、経費精算データの分析、社内アンケートといった複数の手法を組み合わせて、シャドーITを体系的に洗い出すアプローチが必要です。

シャドーIT発見の方法と具体的な対策手順

CASBツールによる通信ログの可視化

シャドーIT発見の代表的な手法として、CASB（Cloud Access Security Broker）ツールの活用が挙げられます。CASBは、企業のネットワークとクラウドサービスの間に位置し、従業員がどのクラウドサービスに、いつ、どのような操作でアクセスしているかを可視化するソリューションです。

CASBを導入することで、これまで情シスが把握していなかった未承認のSaaS利用状況を通信ログから洗い出すことができます。多くのCASB製品は、利用されているクラウドサービスのリスクレベルを自動で評価する機能も備えており、危険度の高いサービスから優先的に対応を進めることが可能です。

こうした概念はGartnerが提唱したセキュリティフレームワークとしても知られており、近年ではSASE（Secure Access Service Edge）の構成要素としても位置づけられています。自社の規模や予算に応じて、クラウド型・オンプレミス型のCASB製品を比較検討することをおすすめします。

経費精算データからSaaS利用を洗い出す

CASBの導入にコストや時間がかかる場合、まず着手しやすいのが経費精算データの分析です。クレジットカード払いで契約されたSaaSは、経費精算システムや法人カードの利用明細に必ず記録が残ります。

具体的には、以下のような項目をチェックすることで、無断契約されたSaaSを洗い出すことができます。

• 毎月一定額が引き落とされている「サブスクリプション型」の支出
• 摘要欄に「クラウド」「ツール」「システム利用料」などの記載がある項目
• 情シスが把握しているSaaS一覧に含まれていない支払い先
• 部署ごとに類似サービスへの重複支出がないか

この方法は追加のツール導入コストがかからないというメリットがある一方、現金決済や個人の立て替えで契約されたサービスは把握できないという限界もあります。そのため、次に紹介する社内アンケートと組み合わせて実施することが効果的です。

社内アンケートで現場の利用実態を確認

データ分析だけでは拾いきれない実態を把握するために有効なのが、全社員を対象とした社内アンケートの実施です。「業務で利用しているクラウドサービス・アプリを教えてください」といった形式で、匿名性を担保しながら回答を集めることで、現場が本音で回答しやすい環境を作ることができます。

アンケートを実施する際は、単に利用の有無を尋ねるだけでなく、以下のような点も併せて確認すると、その後の対策に役立ちます。

• そのサービスをなぜ導入したのか（既存システムの不満点など）
• 利用頻度や業務における重要度
• 取り扱っているデータの種類（機密情報の有無）
• 契約者・費用負担者は誰か

また、アンケート実施時には「罰則を目的としたものではなく、業務効率化とセキュリティ強化のための調査である」という趣旨を丁寧に伝えることが重要です。現場が正直に回答しやすい雰囲気を作ることで、より実態に即したシャドーITの発見につながります。

発見後に行う契約一元化の進め方

シャドーITを発見した後は、洗い出したSaaSを情シス部門主導で一元管理する体制へと移行していく必要があります。まずは発見したサービスをリスク評価し、継続利用するもの・代替するもの・解約するものに仕分けすることから始めましょう。

継続利用が決まったサービスについては、契約主体を個人や部署から情シス部門・総務部門に切り替え、統一したセキュリティポリシー（パスワードルール、多要素認証の設定など）を適用します。同時に、SaaS管理を専門に行うツールを導入することで、契約更新日の一元管理やライセンス数の最適化を継続的に行うことが可能になります。

こうした管理の仕組みを構築することで、今後新たなシャドーITが発生することを未然に防ぐ体制が整います。あわせて、新規SaaS導入時の申請フローを明文化し、社内に周知徹底することも重要な取り組みです。

シャドーIT発見の方法を実践するまとめ

シャドーITは、企業のセキュリティとコスト管理の両面に大きな影響を及ぼす見過ごせない課題です。CASBツールによる通信ログの可視化、経費精算データの分析、社内アンケートといった複数の手法を組み合わせることで、これまで見えていなかったSaaS利用の実態を着実に洗い出すことができます。

発見した後は、リスク評価を行いながら契約を一元化し、継続的に管理できる仕組みを構築することが重要です。まずは自社でできる範囲から着手し、段階的にシャドーIT対策を強化していきましょう。