シャドーIT・シャドーAI対策で重要な「検知後」の運用とは？

SaaSや生成AIの活用が広がる一方で、情シスが把握しないまま利用されるサービスも増えています。

たとえば、部署や個人が情シスに申請せずSaaSや外部サービスを利用していたり、生成AIの利用状況を会社として把握しきれていなかったり、退職者や異動者のアカウントが削除・停止されないまま残っていたりするケースです。

こうした状態は、多くの企業が直面している課題の1つと言えるでしょう。

SaaSや生成AIは導入のハードルが低く、現場主導で利用が広がりやすい性質があります。情シスが把握しないまま利用が進むと、セキュリティやIT統制、ライセンス管理の面でリスクが生じる可能性があります。

そのため近年は、社内で利用されているサービスを把握する「シャドーIT・シャドーAI対策（以下、シャドーIT／AI対策）」に取り組む企業も増えています。

しかし、利用実態を把握できたからといって、すぐに課題が解決するわけではありません。実際には、検知した後の対応で止まってしまうケースも少なくありません。

本記事では、シャドーIT／AI対策が検知後に止まりやすい理由と、管理につなげるために情シスが考えたいポイントについて紹介します。

シャドーITとは、情シスが把握していないまま利用されているSaaSや外部サービスのことを指し、シャドーAIは、情シスが把握していないまま利用されている生成AIサービスを指します。こうした利用実態を把握するために、まずは検知や可視化を行う企業も増えています。

実際、検知を行うことで、これまで把握できていなかったSaaSや生成AIの利用状況が見えてきます。

しかし、そこで新たな課題が生まれます。

それは、「見つけた後、どうするのか」という課題です。

たとえば、

• 利用サービスの一覧は見えた
• 利用部署もある程度わかった

一方で、

• 業務上必要なサービスなのか判断できない
• 利用継続を認めるべきか分からない
• 誰が管理するのか決まらない
• 停止する場合の進め方が分からない

といった状態になることがあります。

利用実態が見えることと、管理できていることは別です。
シャドーIT／AI対策が止まりやすい理由は、検知不足ではなく、その後の整理や運用設計が十分に進まないことにあります。

検知結果の一覧ができたら、次に必要なのは「サービスの扱いを決めること」です。一覧を眺めるだけでは、管理は前に進みません。

まず確認したいのが、そのサービスの利用目的です。
営業活動なのか、マーケティング業務なのか、顧客対応なのか。利用目的によって、業務上の重要度や代替可能性は変わります。

そのうえで、

• 業務上必要なサービスか
• 既存の標準ツールで代替できないか
• 利用を継続するべきか
• 停止するべきか

を検討します。

特に生成AIについては、

• 利用可能なサービスを定める
• 入力可能な情報を整理する
• 利用目的を明確にする

といったルール設計も重要になります。

重要なのは、「見つけたサービスをすべて禁止すること」ではありません。
企業として利用状況を把握し、どのように扱うかを決めることです。

利用継続を認めたサービスは、そのまま放置してよいわけではありません。
むしろ、ここからが管理のスタートです。

たとえば、

• 誰が利用しているのか
• 管理者は誰なのか
• 退職者のアカウントが残っていないか
• 異動後に不要になったアカウントがないか
• 利用されていないライセンスがないか

といった観点を継続的に確認する必要があります。

利用を認めたSaaSが増えるほど、アカウント管理の重要性も高まります。
せっかく利用実態を把握できても、退職者アカウントや不要ライセンスが残り続けていれば、セキュリティ面やコスト面で課題が残る可能性があります。

そのため、シャドーIT／AI対策は、検知→判断→管理までつながって初めて実効性を持つと言えるでしょう。

SmartHRでは、シャドーIT／AI対策を大きく3つのステップで考えています。

まずは、社内でどのようなSaaSや生成AIが利用されているのかを把握します。
情シスが認識していない利用を可視化することで、利用実態を確認しやすくなります。

次に、検知したサービスの扱いを整理します。
継続利用するのか、停止するのか、条件付きで利用を認めるのか。
利用部署や利用目的を確認しながら、対応方針を検討します。

また、必要に応じて利用部署へのヒアリングや運用設計も行います。

管理対象として利用を継続するサービスは、アカウント管理まで含めて運用します。
退職者アカウントや不要ライセンスの確認、定期的な棚卸しなど、継続的な管理体制を整えることが重要です。

シャドーIT・シャドーAI対策では、利用実態を把握することが重要です。一方で、検知や可視化だけでは十分とは言えません。

利用継続の判断や運用ルールの整理、アカウント管理、定期的な棚卸しなど、検知後の運用まで見据えることで、継続的な管理につながります。

SmartHRでは、シャドーIT・シャドーAIの利用実態の把握から、検知結果の整理、管理対象SaaSのアカウント管理まで支援しています。

シャドーIT・シャドーAI対策を進める際は、検知だけでなく、その後の運用や管理のあり方についてもあわせて考えてみてはいかがでしょうか。