シャドーITのリスクは何が重い？情報漏えい・退職後に残るものと事例

シャドーITのリスクとは、会社が把握していない端末やサービスに業務の情報が置かれることで生じる、情報漏えい・アカウントの乗っ取り・余計な出費・退職後の取り残しなどの危険のことです。中でも重くなるのは、個人情報や取引先の秘密を、会社から見えず、辞めた後に回収もできない個人のアカウントに置いている場合になります。まずはデータの重さ・会社から見えるか・退職時に回収できるかの3つの軸で、手元の利用を並べ替えてみてください。言葉の意味や見つけ方の手順は、シャドーITとは何かを解説した記事にまとめてあります。

※この記事の調査・報告書・公的機関の資料・ヘルプページの内容は、2026年10月15日時点で各公開元のページで確認したものです。資料の改訂や画面の変更があるため、実際の対応の前に最新の案内をご確認ください。

シャドーITのリスクの重さを見分ける3つの軸｜データ・見えるか・回収できるか

シャドーITのリスクの重さは、使っているサービスの名前ではなく、何を置いているか、会社から見えるか、辞めた後に回収できるかの3つで決まります。同じ無料のクラウドストレージでも、公開済みのチラシを置くのと、顧客の名簿を置くのとでは、重さがまったく違ってきます。見つかったものを一つずつ心配するより、この3つの軸で並べ替えたほうが、どこから手を付けるかを決めやすいでしょう。

• 軸1：置いているデータの重さ顧客や社員の個人情報、取引先から預かった資料、社内限りの資料、公開済みの情報の順に重くなります。秘密保持契約を結んでいる取引先の資料は、個人情報と同じ段に入れて扱います。
• 軸2：会社から見えるか会社の管理画面やログで利用が分かるか、本人に聞けば分かるか、本人しか知らないかの3段階で見ます。個人のアカウントで登録したサービスは、会社の管理画面には出てきません。
• 軸3：退職時に回収できるか管理者の権限で止めて消せるか、本人の協力があれば消せるか、本人が辞めたら手が出せないかで見ます。会社が契約していないサービスは、多くが下の2つに入ります。

重い・中くらい・軽いに分ける手順

3つの軸がそろったら、次の順番に当てはめて、重い・中くらい・軽いの3段階に分けていきましょう。

1. 軸1が個人情報か取引先の資料で、軸2か軸3のどちらかがいちばん下の段なら「重い」とします。止めるか会社の道具へ移す作業を、ほかより先に始めます。
2. 軸1は重いものの、会社の管理画面で見えて、管理者が止められるなら「中くらい」とします。共有の範囲やパスワードの設定を直す作業が中心です。
3. 軸1が社内限りの資料か公開済みの情報なら「軽い」とします。利用の一覧に載せ、扱ってよいデータの範囲を本人に伝えるところから始めます。

当てはめてみると、個人のクラウドストレージに置いた顧客名簿や、個人のアカウントの生成AIに貼り付けた議事録は「重い」に入ってしまいます。一方、会社が契約したストレージで社外への共有リンクが開いたままのファイルは「中くらい」、無料の画像加工サイトで公開済みの商品写真を加工しているだけなら「軽い」が目安です。迷ったときは、軸3の「辞めた後に回収できるか」を決め手にしてください。漏えいが起きたかどうかを後から確かめる手段も、回収できない場所ほど少なくなるからです。見つけたものを公認・設定変更・移行・停止に仕分ける手順は、見つけた後の4区分の仕分けにまとめてあります。

個人情報・機密情報の情報漏えい｜個人のクラウドストレージとフリーメールが経路になる

シャドーITで多くの会社がまず心配するのは情報漏えいで、その入口になりやすいのが個人で登録したクラウドストレージとフリーメールです。どちらも無料ですぐに使え、自宅や取引先とのやり取りが楽になるため、仕事を早く進めたい方ほど手を伸ばしてしまいます。

共有リンクと転送設定は、本人の知らないうちに外へ開く

個人のクラウドストレージでは、共有リンクの範囲を「リンクを知っている全員」にしたまま取引先に送り、そのリンクがさらに転送されていくことがあります。会社が契約したストレージなら共有の範囲を管理者が絞れますが、個人のアカウントには会社の設定が届きません。フリーメールも同じで、会社のメールを自動で転送する設定を入れると、その後に届く添付ファイルはすべて個人の受信箱に複製されてしまいます。転送の設定は一度入れると本人も忘れやすく、辞めた後まで動き続けることも考えられます。

許可のないアプリに会社のデータを上げたという調査

トレンドマイクロが2020年に世界27か国・1万3,200人のテレワーカーに聞いた調査では、業務用の端末で許可のないアプリを使ったと答えた人が56%いました。そのうち66%が、会社のデータをそのアプリにアップロードしたと回答しています。回答者全体の66%ではなく、許可のないアプリを使った人の中での割合である点に注意してください。同社による調査で、数字は回答者本人の申告に基づくものとなります。

※出典：トレンドマイクロ「Head in the Clouds」調査（英語のリリースは2020年7月1日、日本語の解説ページは同年8月24日公開）。調査の実施主体はトレンドマイクロで、第三者による検証を経た数字ではありません。

漏えいが起きると、報告の期限が動き始める

漏れたものが個人データで、個人情報保護委員会が定める報告の対象に当たれば、会社は報告の準備に追われます。ガイドライン（通則編）は報告の対象を4つの類型で定め、速報は概ね3〜5日以内が目安で、確報は30日以内（不正な目的によるおそれがある場合は60日以内）が規則で定められた期限となります。法人では、いずれかの部署がその事態を知った時点が起点とされるため、気づいた部署から上へ伝わるまでの日数が、そのまま期限を削ってしまいます。報告までの流れは、後ろの節で初動の手順とひな形にまとめました。

端末・USBメモリの紛失と持ち出し｜委託先で起きた尼崎市の事例

端末や記録媒体の紛失は、会社が把握していない場所にデータを複製した時点で、起きたときの被害の大きさが決まってしまうリスクになります。持ち出しの記録がなければ、何が入っていたのかを後から説明することも難しくなってしまいます。

尼崎市のUSBメモリ紛失は、無断の再委託と保存が重なった事案

2022年6月、兵庫県尼崎市は、臨時特別給付金の業務で全市民の個人データを含むUSBメモリが紛失したと発表しました。市の調査委員会が同年11月28日付でまとめた調査報告書によると、USBメモリには全市民の住民基本台帳の情報46万517人分と、住民税に関わる税情報36万573件が入っていました。報告書は、委託先が市の許可を得ずに開発用のパソコンへ個人データを保存していたこと、市が再委託・再々委託を明示的に承諾した事実はないことを指摘しています。データは6月21日にUSBメモリへ複製されて持ち出され、無断の再々委託先の従業員が会食の後、翌22日の未明に紛失し、24日に見つかったという経緯でした。報告書は、この間にUSBメモリから個人データが漏えいしたとは認められないとしています。

社員が個人のツールを勝手に使った例とは性質が違いますが、委託先という会社の外で、承認のないまま保存と複製が重なると、どれほどの量のデータが一度に動くかを示す事案になります。会社が把握していない持ち出しや保存は、委託先の側でも起こりうると考えておきましょう。

※出典：尼崎市「住民税非課税世帯等に対する臨時特別給付金における個人情報を含むUSBメモリーの紛失について」（令和4年6月23日発表）、同「紛失していたUSBメモリーの発見について」（同年6月24日発表）、同市の調査委員会「調査報告書」（令和4年11月28日）。

委託先・派遣・業務委託の端末とアカウントも同じ物差しで見る

社外の方に業務を任せるときは、契約書と作業を始める前の取り決めで、データの置き場所を先に決めておくと安心です。決めておきたいのは、データを保存してよい端末とサービス、再委託するときの事前の承諾、記録媒体へ複製するときの手順と記録、契約が終わったときの消去の報告の4つになります。派遣社員や業務委託の方に、私物のパソコンや個人のアカウントで作業してもらっている場合は、その端末とアカウントも、さきほどの3つの軸で重さを見てください。会社のアカウントを発行して渡しておけば、終了時に止める作業を管理者の側で終えられるようになります。

事例を社内で共有するときは、公表元と結論まで書く

社内の研修で事例を使うときは、公表された事案と、説明のために作った仮想の例を分けて伝えると、誤解を招きにくいでしょう。公表された事案なら、公表した機関と日付、報告書が出した結論まで添えるのがおすすめです。尼崎市の件であれば、漏えいは認められなかったと報告書が結論づけている点まで書いておかないと、実際より大きな被害として伝わってしまいます。出典のない話には「仮想例」と書き添えて、公表された事案と区別してみてください。

アカウント乗っ取り・不正アクセスとマルウェア感染のリスク

個人で登録したサービスは、パスワードの決め方も二段階認証の有無も本人任せとなり、乗っ取られても会社に知らせが届かないところに危うさがあります。

乗っ取られたアカウントは、業務の資料ごと他人の手に渡る

仕事用と私用で同じパスワードを使い回していると、別のサービスから漏れたパスワードで、業務の資料を置いた個人のアカウントに入られてしまいます。会社のアカウントであれば、管理者が不審なログインに気づいてパスワードを変えさせることも出来ます。個人のアカウントでは本人が気づくまで誰も止められず、その間に取引先とのやり取りを読まれたり、本人になりすましたメールを送られたりするおそれが残ります。乗っ取りの入口を減らすには、業務で使うサービスを会社のアカウントに寄せ、二段階認証を全員に求めるのが近道でしょう。

私物の端末とブラウザの拡張機能は、マルウェアの入口になる

私物のパソコンやスマートフォンは、ウイルス対策のソフトが入っているか、更新が止まっていないかを会社が確かめられません。そうした端末で会社のメールやクラウドに入ると、端末が感染していた場合に、保存していたパスワードや開いていた画面の中身が抜き取られることも考えられます。出どころの分からない無料のソフトや、ページの中身を読み取る権限を求めるブラウザの拡張機能も、同じように入口になりえます。感染した私物の端末が社内のネットワークにつながると、ほかの端末やファイルサーバーへ広がる心配も出てきてしまいます。会社のネットワークにつないでよい端末を決め、私物をつなぐ場合の条件を書面にしておきましょう。

生成AIへの機密入力のリスク｜サムスンの報道とシャドーAIとの違い

生成AIを個人のアカウントで使う場合、危ないのは保存ではなく入力した瞬間で、貼り付けた文章はその時点で会社の外のサービスへ送られています。2023年5月、韓国のサムスン電子で社員が社内のソースコードをChatGPTに入力していたことが分かり、同社が社員の生成AI利用を制限したとBloombergなどが報じました。同社の発表ではなく、報道に基づく内容となります。

クラウドストレージとの違いは、データの行き先

個人のクラウドストレージであれば、置いたファイルを後から消したり、共有を止めたりすることが出来ます。生成AIでは、入力した内容の扱いがサービスの規約と本人の設定で決まります。一度送った内容を、会社の側から取り消すことはできません。IPAの「情報セキュリティ10大脅威 2026」の組織編では、「AIの利用をめぐるサイバーリスク」が3位に初めて選ばれました。同じ資料の解説書は、「職場が従業員の個人アカウントによる AI の業務利用を認識できないこともリスクといえる」と書いています。同じ組織編で7位に入った「内部不正による情報漏えい等」を含め、「シャドーIT」という名前の項目はありません。

個人のアカウントで使われる生成AIの見つけ方や対策は、野良AI（シャドーAI）の解説で詳しく扱っています。シャドーITの棚卸しでは、生成AIを別の行に分けて、入力したデータの種類まで聞いてみましょう。

コンプライアンス違反・秘密保持契約（NDA）違反のリスク

シャドーITは、情報が漏れなかった場合でも、取引先との約束や社内の規程に反した状態をつくってしまうことがあります。取引先と結ぶ秘密保持契約（NDA）では、預かった情報を扱える人の範囲や、第三者へ渡すときの条件を決めていることが少なくありません。そうした情報を個人のクラウドストレージや生成AIに置けば、契約で認められていない第三者のサービスに渡したと受け取られるおそれも出てきます。尼崎市の事案でも、論点の一つは、契約で承認が必要だった再委託と保存が無断で進められたことでした。

社内規程で業務データの保存先を決めている会社では、個人のサービスに置いた時点で、規程に反した状態となってしまいます。情報の置き場所を取引先に聞かれて答えられないこと自体が、信用を落とす原因になります。秘密保持契約を結んでいる取引先の資料は、軸1で「重い」の側に入れて扱ってください。社内のルール文書に保存先と入力してよい情報を書き込む手順は、生成AIの社内ガイドラインの作り方が参考になるでしょう。

余計なコストのリスク｜個人カードの立替・重複契約・退職者分の課金

シャドーITはお金の面でも見えにくい出費を生み、個人カードでの立替、部署ごとの重複した契約、辞めた方の分の課金が代表的な形になります。どれも1件ずつは少額で経費精算の承認を通ってしまうため、合計してみるまで気づかれにくいのが厄介です。Microsoftは、Defender for Cloud Appsの説明の中で、従業員の80%は誰もレビューしていない承認されていないアプリを使っていると記載しています。調査名は書かれていないため、Microsoftによる説明の一つとして受け止めておきましょう。

経費精算とカードの明細から見つける手順

見つける作業は、過去1年分の経費精算と法人カードの明細を、表計算ソフトに並べるところから始めてみてください。

1. 摘要や利用先の欄から、サービス名のほか「月額」「年額」「サブスクリプション」「プラン」「Pro」「Plus」「Team」などの語を含む行を抜き出します。
2. 海外のサービスは外貨建てで決済されることがあるため、外貨の金額や海外事務手数料が付いた行も拾います。
3. 毎月ほぼ同じ日に同じ金額で出ている行を並べ、何か月続いているかを数えます。
4. 同じサービス名が別の部署や別の人から出ていないかを見ます。重複していれば、会社の契約1つにまとめる候補です。
5. 申請者の名前を社員名簿と照らし、退職や異動をした方の名前で続いている行がないかを確かめます。
6. 無料で使っていたサービスが、試用期間の終わりに有料へ切り替わった初回の請求も見落とさないようにします。

抜き出した行をそのまま3つの軸の判定に回すと、お金の話とデータの話を一度に片付けることが出来ます。

重複契約と退職者分の課金は、名義を見れば分かる

部署ごとに同じツールを別々に契約していると、請求先も管理者もばらばらになり、誰がどのデータを持っているかもつかみにくくなります。個人名義の契約は会社の側から解約できず、本人が辞めると立替の精算が止まるだけで、業務のデータを入れた契約が本人の手元に残ることがあります。会社のカードで払っている個人名義の契約は、辞めた後も課金が続いてしまいます。金額の大小より、会社のお金で払っている業務のデータが会社の外にあるという点を重く見てください。

退職時に残るもののリスク｜確認チェックリスト

退職のときに残りやすいのは、会社が存在を知らない個人のアカウントと個人契約、そして本人が作った共有リンクになります。IPAの「企業における営業秘密管理に関する実態調査2020」（2021年3月公表・回収2,175件）では、営業秘密の漏えいのルートで最も多かったのは中途退職者による漏えいで、36.3%でした。悪意なく持ち出したままのデータも、会社から見れば回収できないデータに変わりありません。

会社のアカウントでも、移さなければデータは消える

会社が管理しているアカウントであれば、退職時に管理者が止めて、データを別の社員へ移すことが出来ます。Google Workspaceのヘルプは、データを組織内に残すには、削除するユーザーが所有するデータを別のユーザーに移行する必要があり、移行されない、そのユーザーだけが所有するデータは完全に削除されると案内しています。一部のデータは20日間保持され、その間であれば削除したユーザーを復元することも出来ます。ドライブで移行の対象になるのはユーザーが所有するファイルで、共有ドライブにあるファイルは含まれないとされています。一方、社員が個人で作ったGmailやクラウドストレージのアカウントは会社の管理コンソールに出てこないため、移すことも消すこともできません。会社のアカウントは手順どおりに移し、個人のアカウントは本人に確かめてもらう、という二本立てで考えてみてください。

退職時の確認チェックリスト

最終出社日よりも余裕をもった時期に、本人と上長で次の項目を一緒に確かめていきましょう。

• 個人のアカウントに業務のデータが残っていないか個人のクラウドストレージ、フリーメール、メッセージアプリ、個人のアカウントの生成AIの履歴を本人に確かめてもらい、残っていれば会社の保存先へ移してから消してもらいます。
• 会社のメールを個人のアドレスへ転送する設定がないか自動転送の設定は本人も忘れやすいため、会社のメールの設定画面で一緒に確かめます。
• 個人名義で契約しているサービスがないか業務で使っていた有料のサービスを書き出してもらい、続けて使うものは会社の契約へ切り替え、不要なものは本人に解約してもらいます。
• 個人カードの立替で払っている月額サービスがないか直近の経費精算の明細と照らし、精算の申請が止まった後も契約が残らないよう、解約か名義の変更まで決めます。
• 本人が作った共有リンクが社外に開いたままになっていないか会社のストレージでも個人のストレージでも、取引先と共有していたフォルダとリンクを一覧にし、引き継ぐ担当者を決めてから止めます。
• 会社のメールアドレスで登録した外部のサービスがないか会社のアドレスで登録したサービスは、アカウントを止めるとパスワードの再設定ができなくなることがあります。止める前に管理者の役割を引き継ぎます。
• 会社のアカウントのデータを別の社員へ移したかGoogle Workspaceでは、移行しないまま削除すると、本人だけが所有していたデータは完全に削除されると案内されています。
• 私物の端末と記録媒体に業務のデータが残っていないか私物のパソコン、スマートフォン、USBメモリに残ったデータを消したことを、本人に書面で申告してもらいます。

確認した結果は、日付と確認した人の名前を添えて残すと、後から問い合わせがあったときに説明しやすくなります。個人のアカウントの中身は会社が直接見られないため、本人の申告に頼る部分が残ることも、あらかじめ承知しておいてください。

シャドーITが発覚したときの初動と社内報告のひな形

シャドーITの中で漏えいのおそれが見つかったら、まずは止める・残す・数えるの3つを優先してください。個人情報保護委員会への報告が必要になる場合、法人では、いずれかの部署が事態を知った時点から報告の期限が動き始めます。見つけた方が上長へ伝えるまでの時間の短さが、そのまま対応の余裕につながります。

初動のチェックリスト

• 共有リンク・転送設定・ログインを止める本人にお願いして、共有リンクを無効にし、自動転送を止め、パスワードを変えてもらいます。個人のアカウントは会社が操作できないため、本人の協力が前提になります。
• 消さずに記録を残す慌ててファイルやアカウントを消すと、何が見られたのかを確かめる手がかりもなくなります。画面の写しや共有の設定、アクセスの履歴を先に保存します。
• 置いていたデータの中身と件数を数える個人情報が含まれるか、何人分か、取引先から預かった資料かを書き出します。報告が必要かどうかを判断する材料になります。
• 知った日時と、知った部署を書き留める法人では、いずれかの部署が事態を知った時点が期限の起点とされます。誰がいつ気づいたかを最初に記録しておきます。
• 報告の窓口と専門家に早めに相談する報告の対象に当たるかどうかは、個人情報保護委員会の案内や、弁護士などの専門家に確かめながら判断します。

ガイドライン（通則編）では、速報は概ね3〜5日以内が目安、確報は30日以内（不正な目的によるおそれがある場合は60日以内）が規則上の期限とされています。報告の対象かどうかは4つの類型に当てはまるかで決まるため、自社だけで決めつけず、個人情報保護委員会の案内を確かめるか専門家に相談してください。

※期限と起点は、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」の記載に基づきます（速報の日数は目安、確報は規則上の期限）。個々の事案が報告の対象に当たるかどうかは、同委員会の案内や専門家への相談でご確認ください。

社内報告のひな形（第1報）

見つけた方が上長と担当部署へ送る最初の報告は、分かっていることと分かっていないことを分けて書くと、受け取った側が次の手を決めやすくなります。

件名：【至急】業務データの社外サービスへの保存に関する報告（第1報）

報告日時：◯年◯月◯日 ◯時◯分
報告者：◯◯部 ◯◯
事態を知った日時と部署：◯月◯日 ◯時ごろ、◯◯部が把握

1. 何が起きたか
・使われていたサービス：（例：個人で登録したクラウドストレージ）
・使っていた人と期間：
・どのように分かったか：

2. 置かれていたデータ
・データの種類：（顧客の個人情報／取引先の資料／社内資料）
・おおよその件数・人数：
・社外の人が見られる状態だったか：（はい／いいえ／未確認）

3. すでに済ませた対応
・共有リンクの停止：（済／未）
・転送設定の解除・パスワードの変更：（済／未）
・画面の写しと履歴の保存：（済／未）

4. まだ分かっていないこと
・

5. 次に判断が必要なこと
・個人情報保護委員会への報告の要否
・取引先への連絡の要否
・次回の報告予定：◯月◯日 ◯時

第1報は空欄が残っていても構わないので、知った日時と部署の欄だけは必ず埋めて、早めに送ってください。2報目からは分かったことを足して同じ形で送り直すと、時系列の記録としてもそのまま使えます。

リスクを減らす方向性｜代わりの道具・ルール・可視化・教育

シャドーITのリスクを減らす近道は、禁止を強めることより、同じ仕事を会社の管理の下で出来る道具を渡し、ルールと可視化と教育で支えることにあります。公認の環境へ置き換えると、3つの軸のうち「見えるか」と「回収できるか」が会社の側に戻ってきます。

公認の環境に置き換えると変わること

• 利用の記録が会社に残り、誰がいつ何を使ったかを後から確かめられるようになります。
• 会社で契約したストレージやメールなら、退職や異動のときに管理者の操作でアカウントを止め、データを別の社員へ移せます。
• 同じく共有の範囲や外部への転送も、管理者が全員に同じ設定で決められます。
• 支払いが会社の契約にまとまり、立替や重複した契約を探す手間が減ります。

一方で、入力してよい情報を決めることや社員への教育は、道具を替えても会社で用意する必要が残ります。見つけた後の仕分けと対策の全体像はシャドーITの対策の進め方に、点検の項目は生成AIのセキュリティ対策チェックリストにまとめてあります。まずは手元の利用を3つの軸で並べ、「重い」に入ったものから会社の道具へ移してみましょう。

よくある質問

まとめ

シャドーITのリスクは、情報漏えい、アカウントの乗っ取りとマルウェア、端末の紛失、契約や規程への違反、余計なコスト、退職時の取り残しに分けて見ることが出来ます。どれが重いかは、置いているデータの重さ、会社から見えるか、辞めた後に回収できるかの3つで決まります。尼崎市の事案のように、会社の外で承認のない保存と複製が重なると、大量のデータが一度に動いてしまいます。退職時のチェックリストと発覚時のひな形を手元に置き、「重い」に入ったものから順に会社の道具へ移していきましょう。法人のAI活用についてのほかの記事は、AI活用コラム一覧にまとめています。