シャドーITとは、会社が許可・把握していないクラウドサービス、アプリ、私物端末を業務に使うことです。会社が管理できないため、設定の不備・アカウントの乗っ取り・退職後のデータの残留に気づけず、漏洩の原因になります。
よくある例
- 個人のクラウドストレージ・メールで業務ファイルをやりとり
- 無料のファイル変換・翻訳サイトに社外秘をアップロード
- 会社が認めていない生成AIに顧客情報を入力（生成AIのルール）
- 無断で入れた遠隔操作ソフト・チャットアプリ
対策
- 禁止だけでなく、使ってよい代わりのサービスを用意する
- 新しいサービスを使いたいときの申請の窓口
- 通信の記録などから、利用されているサービスを把握する
- なぜ危険かを教育で説明する