「経理に通っとらん SaaS が現場で動いとる」「同じ製品を複数部門が個別契約しとる」――300-1000 名規模の中堅企業情シスが直面する典型課題だ。 シャドー IT は情報漏えいリスクとコスト浪費の二重損失を生む。本記事は 4 つの検出手法と 60 日クリーンアッププランを整理する。
目次
シャドー IT が中堅企業で発生する構造
| 要因 | 結果 |
|---|---|
| 部門 SaaS の決裁権が部門長に委ねられとる | 情シス経由しない契約発生 |
| クレジットカード決済 SaaS が経理を素通り | 検出が遅れる |
| 無料プランから業務利用が常態化 | 業務クリティカル化、停止できない |
| 個人契約の SaaS を業務利用 | データ持ち出しリスク |
| M&A で旧子会社契約が引き継がれて未把握 | 重複契約・退職アカウント残存 |
被害規模の試算
コスト浪費
セキュリティリスク
| リスク | 影響 |
|---|---|
| 顧客データの SaaS 流出 | 個情法違反、損害賠償、社会的信用失墜 |
| 退職者アカウント残存 | 不正アクセス、内部告発リスク |
| ベンダーセキュリティ事故 | データ漏えい、業務停止 |
| 認可されとらん AI ツール利用 | プロンプト経由の機密漏えい、著作権リスク |
4 つの検出手法
手法 1: 経理データ分析
支払先名称に「Software」「SaaS」「.com」「Cloud」を含むレコードを抽出。月次定額決済を優先。
手法 2: MDM・端末ログ
手法 3: SSO/IdP ログ
手法 4: プロキシ・SWG ログ
実務推奨: 経理 + SSO の 2 手法を先行、被害規模が大きければ MDM・プロキシを追加。CASB 製品導入は年間 200-500 万円かかるので、初回棚卸しは既存ログで進める。
SaaS 評価マトリクス（5 軸）
| 軸 | A 評価 | B 評価 | C 評価 |
|---|---|---|---|
| 1. 業務必要性 | 業務必須 | 補助的 | 不要 |
| 2. データ機密性 | 顧客・財務 | 社内一般 | 公開可 |
| 3. 利用人数 | 全社・部門 | 数名 | 1-2 名 |
| 4. ベンダー信頼性 | ISO / SOC2 取得 | 中堅・上場 | 個人開発・スタートアップ |
| 5. 代替可能性 | 既存 SaaS と重複 | 機能差あり | 唯一無二 |
判定基準
60 日クリーンアッププラン
Day 1-15: 検出と一覧化
Day 16-30: 評価と判定
Day 31-45: 解約と移行
Day 46-60: 正規化と運用統合
再発防止の業務フロー
SaaS 申請承認プロセス
法人カード決済ルール
退職時アカウント停止
CTA
「経理に通っとらん SaaS が現場で動いとって、棚卸しが追いつかん」
300-1000 名規模の中堅企業向けに、4 手法によるシャドー IT 検出 → 5 軸評価 → 60 日クリーンアップ → 再発防止フロー設計まで GXO が伴走します。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
よくある質問（FAQ）
Q. CASB を入れずにシャドー IT 検出は可能か？ A. 経理 + SSO の 2 手法で 80% 程度は検出可能。完全可視化が必要なら CASB / SaaS 管理プラットフォーム（年間 200-500 万円）を検討。
Q. 部門長が解約に反発した場合は？ A. 評価マトリクスで「業務必要性 A」と認定されたら正規化、それ以外は代替案提示と段階的移行で交渉する。情シス単独では押し切らない。
Q. 棚卸しは何回やれば良いか？ A. 初回 60 日で全棚卸し、その後は四半期 1 回の棚卸しと月次の経理データ確認で追跡。再発はゼロにできず常時監視が必要。
参考資料
- 経済産業省「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」
- 情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
- JIS Q 27017（クラウドサービスの情報セキュリティ管理策）
中堅企業 シャドー IT 棚卸し、SaaS ライセンス整理、再発防止フロー設計は GXO のシステム開発サービスで対応可能です。
GXO実務追記: システム開発・DX投資で発注前に確認すべきこと
この記事のテーマは、単なるトレンド紹介ではなく、要件定義、費用、開発体制、ベンダー選定、保守運用を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。
まず決めるべき3つの論点
| 論点 | 確認する内容 | 未整理のまま進めた場合のリスク |
|---|---|---|
| 目的 | 売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか | 成果指標が曖昧になり、PoCや開発が終わっても投資判断できない |
| 範囲 | 対象部署、対象業務、対象データ、対象システムをどこまで含めるか | 見積もりが膨らむ、または重要な連携が後から漏れる |
| 体制 | 自社責任者、現場担当、ベンダー、保守運用者をどう置くか | 要件確認が遅れ、納期遅延や品質低下につながる |
費用・期間・体制の目安
| フェーズ | 期間目安 | 主な成果物 | GXOが見るポイント |
|---|---|---|---|
| 事前診断 | 1〜2週間 | 課題整理、現行確認、投資判断メモ | 目的と範囲が商談前に整理されているか |
| 要件定義 / 設計 | 3〜6週間 | 要件一覧、RFP、概算見積、ロードマップ | 見積比較できる粒度になっているか |
| PoC / MVP | 1〜3ヶ月 | 検証環境、効果測定、リスク評価 | 本番化判断に必要な数値が取れるか |
| 本番導入 | 3〜6ヶ月 | 本番環境、運用設計、教育、改善計画 | 導入後の運用責任と改善サイクルがあるか |
発注前チェックリスト
- [ ] 発注前に目的、対象業務、利用者、現行課題を1枚に整理したか
- [ ] 必須要件、将来要件、今回はやらない要件を分けたか
- [ ] 見積比較で、開発費だけでなく保守費、運用費、追加改修費を見たか
- [ ] ベンダー選定で、体制、実績、品質管理、セキュリティ、引継ぎ条件を確認したか
- [ ] 検収条件を機能、性能、セキュリティ、ドキュメントで定義したか
- [ ] リリース後3ヶ月の改善運用と責任分界を決めたか
参考にすべき一次情報・公的情報
上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。
GXOに相談するタイミング
次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。
- 見積もり依頼前に、要件やRFPの粒度を整えたい
- 既存ベンダーの提案が妥当か第三者視点で確認したい
- 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
- 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
- PoCや診断で終わらせず、本番導入と運用改善まで進めたい
中堅企業（300-1000 名）シャドー IT 棚卸し SaaS ライセンス整理 2026｜検出 4 手法と 60 日クリーンアッププランを自社条件で診断したい方へ
GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。
※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。