IT部門の承認を経ずにSaaSを業務で使うシャドーITは、どの企業でも起こりうる身近な問題です。問題は「使っているかどうか」ではなく「リスクがどこにあり、どれくらい深刻か」を把握できているかどうかです。

シャドーITのリスクが厄介なのは、問題が顕在化するまで気づきにくいという点にあります。個人のDropboxに顧客データが保存されている事実は、退職者が情報を持ち出すまで発覚しないことがあります。未承認SaaSへの不正アクセスは、インシデントが起きてから初めてその存在に気づくことも多いです。

シャドーITが企業に与えるリスクを6つに分け、それぞれの被害の起き方と、対策の優先度を決める視点を整理しました。まずは次の早見表で、6つのリスクの優先度と最初に取る対策を確認してください。シャドーITの定義はシャドーITとはで、対策の具体的な進め方はシャドーIT対応マニュアルで解説しています。

シャドーITの6つのリスク早見表｜被害例・優先度・最初の対策

シャドーITのリスクは、情報漏洩、不正アクセス、コンプライアンス違反、コスト管理、退職者アカウント、ガバナンスの6つに分けられます。共通する根本原因は、情シスがそのサービスの存在を把握できていないことです。6つのリスクで起きる被害と優先度、最初に取る対策は次のとおりです。

優先度は、扱うデータの機密度と利用者数によって上下します。自社での評価の仕方は、後半の「リスクの高さを評価する3つの視点」で説明しています。

シャドーITのリスクが見えにくい理由

リスクの具体的な内容に入る前に、シャドーITのリスクが把握しにくい構造的な理由を整理します。この構造を理解することで、後述する6つのリスクがなぜ対処を遅らせると深刻になるのかが明確になります。

「管理外」であることが問題を複雑にする

シャドーITが問題なのは、単に「未承認のツールを使っている」という事実ではありません。情シスの管理が及ばないために、リスク評価そのものができない状態が生まれることが本質的な問題です。

情シスが管理するSaaSであれば、ベンダーのセキュリティ水準・データの保存場所・アクセス権限の設定・退職者対応の手順を把握した上でリスクコントロールができます。シャドーITはこの「コントロールできる状態」の外にあるため、リスクが蓄積しても把握できないまま進行します。たとえば管理されているSaaSでは「このユーザーは退職したのでアカウントを削除する」という手順を踏めますが、シャドーITではその手順を踏む前提となる「存在の把握」ができていません。

リスクが発覚するタイミングの多くはインシデント後

IPA「情報セキュリティ10大脅威 2026」（組織編）では、内部不正による情報漏えい等が7位に入り、AIの利用をめぐるサイバーリスクが初めて3位に選ばれました。シャドーITが発覚する典型的なパターンは、退職者が個人アカウントにデータを持ち出した・セキュリティ監査で未把握のSaaSが指摘された・情報漏洩インシデントの原因調査で発覚したという順です。

発覚後の対応コストは、予防的な管理コストの数倍になるケースがほとんどです。インシデント対応には、原因調査・影響範囲の特定・被害の封じ込め・報告書の作成・再発防止策の実施が必要で、場合によっては外部のセキュリティ専門家の支援も必要になります。事前の管理に投じるコストは、インシデント後対応のコストに比べて圧倒的に小さいです。

シャドーITのリスクを正確に把握するための3つの視点

リスクの重大性を正確に判断するために、以下の3つの視点でシャドーITを評価します。

機密度の視点: そのSaaSにどのようなデータが入力・保存されているか。公開情報のみを扱うツールは低リスク、顧客情報・個人情報・財務情報・ソースコードを扱うツールは高リスクと判断します。

影響範囲の視点: 問題が発生した場合に影響を受ける人数と範囲。1〜2人しか使っていないツールより、部門全体・全社規模で使われているツールの方が、インシデント時の影響が大きくなります。

管理体制の視点: ベンダーのセキュリティ認証（SOC 2・ISO 27001等）の取得状況、データの保存場所・暗号化水準、アクセス制御の設定可否。これらが確認できない・設定できないサービスはリスクが高いと判断します。

参考：シャドーITとは？急増する原因やセキュリティリスクをわかりやすく解説｜ism

参考：情報セキュリティ10大脅威 2026｜IPA

リスク1｜情報漏洩・データ流出

シャドーITリスクの中で最も深刻で、対応が困難なのが情報漏洩・データ流出です。一度流出した情報は回収できないため、発生後の対応コストは極めて高くなります。

個人アカウントのクラウドサービスからの流出経路

個人アカウントのDropbox・Google Drive・OneDriveに業務データが保存されているケースでは、複数の経路で情報漏洩が起きます。

まず、個人アカウントのパスワードが他のサービスと使い回されている場合、そのパスワードが漏洩した時点で業務データが入ったクラウドストレージへの不正アクセスが起きる可能性があります。次に、個人アカウントには会社のセキュリティポリシーによるアクセス制御が適用されないため、共有設定の誤りや「誰でも閲覧可能」なリンクの発行が発生しやすいです。また、端末を紛失した際に、個人アカウントのクラウドと同期していたデータが外部に流出するリスクもあります。

さらに、退職者が個人アカウントのクラウドストレージを業務に使っていた場合、退職後も元社員がそのデータにアクセスできる状態が続きます。これは「意図的な情報持ち出し」ではなく「気づかずにアクセスできる状態が継続する」という問題も含みます。

生成AIへの入力による意図せぬデータ送信

2023年以降、最も急増しているシャドーIT起因の情報漏洩リスクが、生成AIサービスへの業務情報の入力です。ChatGPT・Claude・Geminiなどの無料プランでは、入力したデータがAIモデルの学習に使われる設定になっているケースがあります。

従業員が「文書要約の補助ツール」として個人アカウントのChatGPTを使い、会議の議事録や顧客への提案書をそのまま貼り付けるケースが報告されています。利用者本人に「データを外部に送信している」という意識が薄いまま、機密情報がAI事業者のサーバーに送信されます。生成AIに関するシャドーAIのリスクは、シャドーAIのリスク5つで詳しく解説しています。

2023年3月、Samsung電子では従業員が社内の機密コードをChatGPTに貼り付けたことが問題となりました。この事例が国内でも広く報道されたことで、生成AIへの業務情報入力のリスクが注目されました。日本国内でも同様のリスクは存在しており、生成AIを業務で活用する従業員が増えるにつれて、このリスクは拡大しています。

国内外のシャドーIT起因の情報漏洩事例

具体的な被害パターンとして、以下のようなケースが国内外で報告されています。

国内では、退職した元社員が個人のGoogleドライブに保存していた顧客データをそのまま持ち出したケースが複数報告されており、退職後もアクセスが継続していた事実が問題を複雑にしています。また、業務効率化のために使い始めたクラウドストレージに、いつの間にか大量の社内資料が蓄積されていたというケースも見られます。海外では、個人用Slackアカウントを通じて共有された業務情報が、アカウントのセキュリティ設定の不備により外部に流出した事例があります。情報漏洩やインシデントに至った事例は、シャドーITの事例9選で原因と対策とあわせて紹介しています。

参考：シャドーITによる情報漏洩事例や対策方法を紹介｜トレンドマイクロ

リスク2｜不正アクセス・サイバー攻撃の起点化

シャドーITは、サイバー攻撃者にとって格好の標的・侵入経路になります。組織のセキュリティ境界の外にある弱点として、攻撃者に利用されるリスクがあります。

未管理アカウントが攻撃の入口になる仕組み

情シスが管理するSaaSであれば、シングルサインオン（SSO）の導入・多要素認証（MFA）の強制・不審なアクセスの検知といったセキュリティ対策を一元的に適用できます。しかしシャドーITの個人アカウントには、こうした組織全体のセキュリティポリシーが適用されません。

攻撃者は、セキュリティ対策が弱い個人アカウントを侵害した後、そのアカウントに保存されている業務データや、同じ認証情報で利用できる社内システムへのアクセスを試みます。シャドーITの個人アカウントが、組織の基幹システムへの侵入起点になるシナリオです。MFAが設定されていない個人アカウントは、パスワードさえ入手すれば不正アクセスが可能であり、特に脆弱です。

パスワード使い回しとクレデンシャルスタッフィング攻撃

クレデンシャルスタッフィング攻撃とは、他のサービスから流出したIDとパスワードの組み合わせを使い、別のサービスへの不正ログインを試みる攻撃手法です。多くのユーザーが複数のサービスで同じパスワードを使い回しているという実態を狙った攻撃です。

従業員が業務で使うシャドーITに、プライベートで使っているパスワードと同じものを設定している場合、プライベートのサービスからパスワードが漏洩した時点で業務関連のシャドーITアカウントも危険にさらされます。ジョーシスが日経225構成企業とそのグループ企業を対象に行った調査（2026年6月公表）では、96.4%（217社）で過去3年間に情報漏洩が確認され、74.6%（168社）で認証基盤・顧客管理など重要度の高いアプリケーションの認証情報漏洩が確認されました。大企業でも認証情報の流出は前提と考える必要があり、情シスの管理外にあるアカウントほど、流出の影響に気づくのが遅れます。情シスが把握していないシャドーITは、こうした攻撃への対策を施すことができないため、一度侵害されても気づくのが遅れるリスクがあります。

攻撃者がシャドーITを狙う理由

組織の本番システムには通常、WAF・IDS・EDRといった多層的なセキュリティ対策が施されています。しかしシャドーITは情シスの管理外であるため、こうした対策が適用されていません。攻撃者の視点では、セキュリティ対策が手薄な「裏口」として、シャドーITは格好の標的になります。

特に、個人アカウントのクラウドサービスに業務データが保存されており、かつMFAが設定されていない場合は、攻撃の難易度が著しく下がります。フィッシングメールによるパスワード詐取の後、そのパスワードで業務データにアクセスされるという手順が、実際のインシデントでも発生しています。

連携ツールとAPIキーも見落とされやすい入口になる

シャドーITの盲点は、従業員が個人で契約したSaaSだけではありません。業務システムにつないだデータ分析ツールや自動化ツール、そこに発行した連携用のAPIキーも、台帳に載らないまま残りやすい資産です。本体のシステムを厳重に守っていても、周辺のツールから連携の鍵が漏れれば、そこが入口になります。

2026年10月には、物流システム「クラウドロジ」を提供するスタークス株式会社が、データ分析ツール（Metabase）のサーバーへの不正アクセスにより、APIキーの漏えいを確認したと公表しました。個人情報を含むそのほかの情報も、漏えいの可能性を調査中としています。同社によると、このサーバーはクラウドロジの本番環境から分離されており、本番環境への侵入の形跡は確認されていません。原因は調査中で、シャドーITが原因と公表された事案ではありません。それでも、本番の外側にある周辺ツールと連携キーまで棚卸しの対象に含めておく必要性を示す例です。

参考：シャドーIT｜セキュリティ用語解説｜NRIセキュア

参考：Metabaseへの不正アクセスに関するご報告および クラウドロジご利用に関するご案内（第二報）｜スタークス

リスク3｜コンプライアンス違反・法的リスク

シャドーITは、セキュリティリスクだけでなく、法的なコンプライアンスリスクも内包しています。法的リスクは、発覚後の対応が社会的な問題に発展する可能性があるため、情シスだけでなく経営層も関心を持つべきリスクです。

個人情報保護法・GDPRとの抵触

日本の個人情報保護法は、個人情報を取り扱う事業者に対して、安全管理措置の義務を課しています。個人情報が含まれるデータが、情シスの管理外のシャドーITに保存・送信されると、この安全管理措置の要件を満たせなくなる可能性があります。

EU域内の顧客・パートナーの個人データを取り扱う場合、GDPR（EU一般データ保護規則）の要件への適合も必要です。GDPRはデータ処理の透明性と管理を求めており、組織が把握していないサービスへのデータ転送はGDPR違反と見なされる可能性があります。GDPR違反の場合、年間売上高の4%または2,000万ユーロのいずれか高い方の制裁金が科される可能性があります。2023年5月には、アイルランドのデータ保護委員会がMetaに12億ユーロの制裁金を科しており（出典：Data Protection Commission announces conclusion of inquiry into Meta Ireland｜Data Protection Commission）、制裁の規模は小さくありません。

NDA・取引契約違反のリスク

取引先や顧客との秘密保持契約（NDA）は、機密情報を特定の安全な環境での管理に限定することを定めているケースがあります。「個人のDropboxに顧客から受け取った機密資料を保存していた」という事実だけで、契約上の義務違反が生じる場合があります。

NDA違反は損害賠償請求の対象となり得ます。取引先からの信頼失墜という無形の損失も深刻です。特にBtoB事業において、顧客企業から「自社データの取り扱いが不適切だった」と判断された場合、契約更新の拒否や取引関係の解消につながるリスクがあります。

業界規制（金融・医療・製造等）固有のリスク

金融機関はFSA（金融庁）の監督下でシステムリスク管理が義務付けられており、未承認のSaaSを通じた情報処理はシステムリスク管理上の問題として指摘される可能性があります。医療機関はHIPAA（米国）や医療情報システムの安全管理に関するガイドライン（厚生労働省）への対応が求められ、患者情報を扱うシャドーITは重大な規制違反になり得ます。製造業では輸出管理規制に基づく技術情報の管理義務があります。

これらの業界では、シャドーITによるデータ管理の欠缺が業界規制違反と見なされる可能性があり、行政処分・ライセンス停止といった深刻な結果を招くリスクがあります。業界規制が厳しい業種ほど、シャドーIT対策を「コスト」ではなく「経営リスク管理の必須投資」として位置づける必要があります。

参考：What is Shadow IT? Definition, Risks and Benefits Explained｜Fortinet

リスク4｜コスト管理リスク（IT支出の不可視化）

セキュリティリスクと比べると軽視されがちですが、コスト管理リスクも情シスが取り組むべき重要な課題です。シャドーITによるコストの無駄は、見えないまま蓄積され続ける特徴があります。

重複SaaS契約によるコスト増加

情シスが把握していないところで、複数の部署が機能の重複するSaaSを個別に契約しているケースは頻繁に発生します。A部門がNotionを、B部門がConfluenceを、C部門がCodaを、それぞれ個別に契約している状況がその典型例です。本来1つのツールに統合できるはずのコストが、情シスの把握外で分散して発生しています。

全社のSaaSコストを一元把握すると、使われていないライセンスや重複している契約を見つけて削減できます。SaaSのコスト最適化は情シスが経営に貢献できる明確な成果として示しやすい領域であり、棚卸しの実施と同時に進めることで、コスト削減の効果を数値で報告できます。

無駄なライセンス費用の発見と削減機会の損失

無料プランで使い始めたSaaSがいつの間にか有料プランに自動移行しており、経費精算の中に埋もれているケースも見られます。また、既に使っていない（または使用頻度が極めて低い）SaaSの月額料金が、誰も気づかないまま毎月引き落とされ続けているケースも発生します。

情シスがSaaSの棚卸しを行い、利用実態と契約の整合性を確認することで、こうした無駄なコストを発見できます。シャドーITの把握は、セキュリティ対策と同時にコスト最適化の機会でもあります。見えないコストの試算の仕方は、シャドーITのコストで紹介しています。

コスト管理リスクが拡大する要因

SaaSはクレジットカードがあれば個人でも簡単に契約できるため、部門の担当者が業務効率化のために自分で契約するケースが増えています。月額数千円のSaaSは1件あたりのコストが低いため、経費申請の段階でも詳細な確認を受けにくいです。しかし、こうした小口のSaaSが組織全体で積み上がると、年間数百万円規模のIT支出が情シスの把握外に存在するという状況になります。

SaaSの年間契約への自動更新も見逃しやすいポイントです。無料トライアルから有料プランに移行したことに気づかないまま、年間契約で更新されているケースがあります。更新日の3ヶ月前に情シスへ通知が届く仕組みを整えることで、更新時の要否判断を行いやすくなります。

リスク5｜退職者アカウント残存リスク

シャドーITのリスクの中で、対処が特に難しいのが退職者のアカウント残存問題です。発覚が遅れるほど、情報漏洩のリスクが蓄積します。

なぜシャドーITの退職者対応は難しいのか

情シスが把握・管理しているSaaSのアカウントは、退職者が発生した際にオフボーディング手順の中で削除・無効化できます。しかし個人アカウントで契約していたシャドーITは、そもそも情シスが存在を知らないため、オフボーディング手順から漏れます。

「情シスが知らないから対応できない」という構造的な問題が、退職者アカウント残存リスクの根本原因です。シャドーITの棚卸しと可視化が、退職者リスク対策の前提条件になります。企業によっては、退職者対応の際に「認識外のシャドーITに多数アカウントが残存していた」と後から判明するケースもあります。

退職後アクセス継続による情報持ち出し・漏洩

退職者が個人アカウントのクラウドサービスに会社の業務データを保存したまま退職したケースでは、退職後も元社員がそのデータにアクセスできる状態が続きます。

悪意を持った退職者による意図的な情報持ち出しのほか、悪意がなくても退職後に「個人のDropboxに以前の仕事のデータが残っている」という状況は、セキュリティリスクとして放置できません。また、退職者のアカウントが第三者に乗っ取られた場合、そのアカウントに残存している業務データが外部に流出するリスクもあります。

退職者アカウント問題への対処策

退職者アカウントのリスクを低減するために、まず「情シスが把握しているSaaSの退職者対応」を確実に実施することが最初の一手です。オフボーディングチェックリストにSaaSアカウントの削除を含め、担当者が漏れなく実施できる仕組みを整えます。退職時に止める範囲と手順は、退職者アカウント削除の方法でまとめています。

次に、シャドーITの棚卸しを実施することで「情シスが把握していなかったSaaS」を発見し、台帳に追加した上で退職者対応の対象に含めていきます。完全にゼロにすることは困難ですが、定期的な棚卸しと把握範囲の拡大によって、対応漏れを減らしていくことが現実的な目標です。

参考：知らないうちに使われる「シャドーIT」が招くセキュリティリスク｜SKYSEA Client View

リスク6｜IT管理・ガバナンスの形骸化

最後のリスクは、個別のセキュリティ事故ではなく、情シスの管理・ガバナンス機能そのものへの影響です。このリスクは直接的な被害が見えにくいため、放置されがちですが、組織のITガバナンス全体に影響を与えます。

情シスの可視性の低下が招くガバナンスの空洞化

シャドーITが組織内に広がると、情シスが「自社のIT環境全体を把握している」という前提が崩れます。どのデータがどこに保存されているか、誰がどのサービスにアクセスできる状態にあるか、という基本的な事実が不透明になります。

この状態では、セキュリティポリシーの実効性を確認できません。「ポリシーは整備したが、実際に守られているかどうかが分からない」という状況は、ガバナンスが機能していない状態と同義です。経営層から「セキュリティ対策は取れているか」と問われた際に、確信を持って答えられない情シスの立場は、組織内での信頼性に影響します。

セキュリティ監査・インシデント対応への影響

定期的なセキュリティ監査では、IT資産の管理状況・アクセス権限の適切な設定・データ保護措置の有効性が確認されます。シャドーITが多数存在する組織では、これらの確認作業が不可能または不完全になります。

インシデント発生時の影響範囲の特定も困難になります。「どのシステムに・どのデータが・どんな形で影響を受けたか」を特定する際に、情シスが把握していないシャドーITの存在がインシデント対応を著しく複雑にします。影響範囲の特定に時間がかかるほど、顧客・規制当局への報告が遅れ、追加的な問題が発生するリスクが高まります。

経営層への報告・説明責任への影響

シャドーITが多数存在する環境では、情シスが経営層に対して「自社のIT環境の安全性」を説明する際の根拠が弱くなります。「把握しているSaaSは適切に管理されています」という報告は、「把握していないSaaSが何種類あるか分からない」という事実があれば、説明責任として不十分です。

シャドーITを把握・管理することは、情シスが経営層に対して「IT環境全体を適切に管理している」という説明責任を果たすための前提条件でもあります。

参考：シャドーITとは？該当例・リスク・対策をわかりやすく解説｜NTT東日本

リスクの高さを評価する3つの視点

6つのリスクを理解した上で、組織内のシャドーITをどのように優先評価するかについて整理します。すべてのシャドーITに同等のリソースを割くことはできないため、優先度を正確に判断することが重要です。

機密度×使用者数×代替手段の有無で優先度を決める

シャドーITのリスク評価には、以下の3つの視点を組み合わせることが実践的です。

機密度: そのシャドーITに顧客情報・個人情報・機密情報が入力・保存されているかどうかを確認します。機密情報を扱っているほど、リスクは高くなります。特に生成AIサービスへの入力内容は、機密情報が含まれているケースが多いため、使用部門へのヒアリングで確認します。

使用者数: 少数の社員が使っているケースより、多くの社員が使っているケースの方が、情報漏洩が発生した場合の影響範囲が広くなります。また、利用者が多いほど代替手段への移行コストも高くなります。使用者数が多いSaaSは、禁止よりも「企業版への移行」や「利用ルールの設定」という方向で対応する方が現実的な場合があります。

代替手段の有無: 情シス公認のツールで同等の機能を提供できる場合は、禁止と代替手段への移行を進めやすいです。代替手段がない場合は、条件付き許可（機密情報の入力禁止などのルール設定）を検討しながら、中長期的な代替手段の整備を進めます。

この3つの視点でスコアリングを行い、優先度の高いものから対応することで、限られたリソースを効果的に活用できます。

6つのリスクと優先対応の関係

6つのリスクには、それぞれ優先対応の緊急度があります。

シャドーITを見つける手順はシャドーIT検出の5つの方法で、検出に使うツールの種類はシャドーITのツール選定ガイドで解説しています。

参考：セキュリティ観点からシャドーITにどう対処すべきか？｜サイバーセキュリティ情報局

シャドーITのリスクを減らす対策5ステップ

リスクを減らす対策は、禁止から始めるより、見える化から始めるほうが現場の反発を招かずに進みます。リスク評価の結果を受けて、次の5つのステップで手当てします。

1. SaaSの利用状況を利用者単位で洗い出し、承認済みの台帳と突き合わせる
2. 機密度・使用者数・代替手段の有無の3つの視点で、優先度をつける
3. サービスごとに、許可、条件付きの許可、公認ツールへの移行、禁止のいずれかを決める
4. 新しいSaaSを使うときの申請フローと利用ルールを定め、全社に周知する
5. 新しく使われ始めたSaaSを定期的に確認し、台帳とオフボーディングの対象を更新する

禁止したサービスの代わりが用意されていないと、利用者は別の未承認サービスに流れるだけです。3つ目のステップで代替手段をセットで示すことが、対策を定着させる条件になります。

JosysによるシャドーITリスクの低減

シャドーITのリスクを低減するには、「見えない状態をなくす」ことが最初のステップです。Josysは、情シスがシャドーITを把握し、適切に管理するための機能を提供しています。

SaaS利用の可視化によるリスクの早期発見

JosysのSaaS Discoveryは、ブラウザ拡張機能を通じたログインやブラウザの活動から、従業員が業務で使っているSaaSを検出します。情シスが管理するSaaS台帳と実際の利用状況を照合すれば、未承認のSaaSを利用者単位で把握できます。

使っている本人がわかれば、申請や利用の見直しを直接依頼できます。早期に把握して手を打つことで、シャドーITが長期間にわたって情報漏洩の経路になるリスクを低減します。

事例：関西電力が916件の検知から対処すべき十数件に絞り込んだ方法

関西電力のIT戦略室サイバーセキュリティグループは、以前にネットワーク側でクラウドサービスを検知する製品を検討しましたが、プロキシのログではIPアドレスしかわからず、誰が使っているかを特定しにくいという課題がありました。そこで、利用状況を人（アカウント）の単位で見られる方法として、3か月のPoCでJosysの「SaaSドック」を実施しました。

初回の検知は916件でした。承認済みの台帳と突き合わせ、単発の利用や審査が不要なものを除いて高頻度の141件に絞り、最終的に対処すべきものを十数件まで特定しています。判断の軸に置いたのは、ツールが示すリスクの高さよりも業務でどう使われているかで、3分以上の利用を検知する機能が役立ったといいます。AI系のサービスが検知されたケースでは利用者へのアンケートで使い方を確かめ、大きなセキュリティリスクは見つからなかったため特別な是正はせず、申請が必要なものについて利用者へ案内する対応をとりました。件数の多さに圧倒されず、利用の実態で絞り込めば、限られた人数でもリスク評価を回せることを示す事例です。

参考：関西電力の導入事例｜Josys

アカウント管理の一元化とオフボーディング自動化

Josysは、情シスが把握している承認済みSaaSのアカウントを一覧で管理し、連携対象のSaaSについては退職時のアカウント削除をまとめて進められます。アプリ連携は350以上で、入社・異動・退職にあわせたアカウントの発行と削除をAccess Automationで自動化できます。リスク5の退職者アカウント残存を、手作業の確認だけに頼らずに減らせます。

まとめ

シャドーITのリスクは、情報漏洩・不正アクセス・コンプライアンス違反・コスト管理・退職者アカウント残存・ガバナンス形骸化という6つのカテゴリに整理できます。これらのリスクに共通するのは、「情シスが把握できていない状態」が根本原因であるという点です。

リスク対策の起点は可視化です。何が使われているかを把握し、機密度・使用者数・代替手段の有無という3つの視点でリスク評価を行い、優先度の高いものから対応を進めます。シャドーIT対応マニュアルでは、情シスが取るべき具体的な対応ステップを詳しく解説しています。

SaaSの可視化によるシャドーITリスクの低減については、Josysの機能の概要を5分で読める資料でご確認いただけます。

Josys 製品資料をダウンロードする