シャドーITは中小企業ほど危ない——情シスなしでも今日からできる対策

シャドーITとは、会社が把握・承認していないツールを社員が業務に使うことです。個人のLINEで取引先と連絡したり、個人のGoogleドライブに業務ファイルを保存したりしている社員は、どの会社にも1人や2人いるのではないでしょうか。

「うちの会社には関係ない」と思うかもしれません。でも、専任のIT担当者がいない創業期や小規模な会社ほど、シャドーITは気づかれないまま広がりやすいのです。

シャドーITとは——会社が知らないうちに広がる「野良ツール」

「シャドーIT」とは、会社が許可・管理していないITツールやサービスを、社員が業務のために使うことを指します。「野良ツール」と呼ばれることもあります。

悪意があるわけではありません。「このアプリの方が速い」「使い慣れているから」という純粋な業務効率化の意識から始まることがほとんどです。問題は、経営者や管理職が把握できないまま、会社のデータが個人の管理下に流れていくことです。

ある調査（2025年）によると、約47%が「会社から許可されていないツールを業務で利用したことがある」と回答しています。また同調査では約62%の企業に専任のIT管理者がいないことも示されており、シャドーITが顕在化しにくい環境が多くの中小企業に存在します。

テレワーク後に増えた、よくあるシャドーITの例

在宅勤務では、使っているツールを管理職が把握しにくくなります。オフィスであれば周囲の目がありますが、自宅では個人スマホを業務に使っていても誰も気づきません。テレワークが広がったことで、シャドーITはより身近な問題になりました。

• 個人のLINEやiMessageで取引先・社内の連絡をする
• 個人のGoogleドライブやDropboxに業務ファイルを保存し、自宅から取り出す
• 個人スマホのメモアプリに顧客情報・議事録を記録する
• 会社が承認していない生成AIに業務の文書やデータを入力する

どれも「ちょっとした手間を省く」目的で始まります。しかし会社の情報が個人の管理下に移っていくという点では、どれも同じ問題をはらんでいます。

情シスなし中小企業が気づきにくい3つのリスク

① 退職後に個人端末・個人アカウントに会社データが残る

個人のGoogleドライブやLINEで業務データをやり取りしていた場合、退職後もそのデータは社員の手元に残ります。個人アカウントである以上、会社側がデータを削除・回収する手段がありません。「退職時にきちんと消してもらえる」と期待しても、確認のしようがないのが実態です。

② 設定ミスで社外に情報が流出する

個人向けのGoogleドライブやDropboxには「共有リンクを作成」する機能があります。この設定を誤ると、リンクを知っている人であれば誰でもアクセスできる状態になります。会社が管理していないツールでは、こうしたミスが起きても発見が遅れます。国内企業でもクラウドストレージの共有設定ミスにより大量の個人情報が外部から閲覧可能になった事例が報告されており、他人事ではありません。

③ 何が起きたか後から追えない

会社が管理するツールであれば、「誰がどのファイルを操作したか」「いつ、どのメッセージが送られたか」のログが残ります。しかし個人ツールの場合、何が起きたかを事後に確認する手段がありません。情報漏洩が起きても「いつ・どのデータが・どこに出た」を追いかけることが非常に難しくなります。

「禁止」より「整備」——会社管理のIT環境に切り替える考え方

シャドーITへの対策として、社員に一方的に「禁止」を伝えるだけでは効果が薄いと言われています。代わりのツールを用意しなければ、社員はより使いやすい個人ツールに頼り続けるからです。

効果的なのは、「使いやすい公式ツール」を会社として整備することです。個人のLINEを使う社員がいるなら、会社が管理するビジネスチャットを提供する。個人のGoogleドライブに頼っているなら、会社のサーバーでファイルを管理できる環境を整える。こうした「代替手段」があって初めて、シャドーITは解消に向かいます。

そして整備したツールで重要なのは、会社側でアカウントを一元管理できることです。退職時にアクセス権を停止できる、ログが会社に残る——それが実現できて初めて、情報管理のリスクを下げられます。

情シス不在でも整備できる会社管理のIT基盤

「ビジネスチャットとファイル共有を自社で整備する」と聞くと、専門的なIT知識が必要に思えるかもしれません。しかしOrcinusは、チャット・ファイル共有・会計ソフトをひとつの小型サーバーに集約したサポート付きのオールインワンソリューションです。

• チャット（Mattermost）: 個人LINEの代わりになる会社管理のビジネスチャット。Slackのような期間制限なく過去のメッセージをさかのぼって検索でき、退職時はアカウントを停止するだけです
• ファイル共有（Samba + WebUI）: 個人のGoogleドライブに代わる、自社サーバー上のファイル管理。アクセス権限も会社側で設定・変更できます
• 管理（CassetteOS）: beesnest社製の業務サーバーOS。ブラウザで操作できるため、専門的なIT知識がなくても日常の管理ができます

IT専門担当者がいない創業期・小規模企業でも、社員が使うツールを「会社の管理下」に置く体制を整えることができます。シャドーITは「気づいていない」段階が最も危険です。まず、自社の環境を見直すことから始めてみてください。

参考：退職した社員の個人スマホに、会社の情報が残っていませんか？——業務データの「置き場所」が情報漏洩リスクを左右する