「経理に通っとらん SaaS が現場で動いとる」「同じ製品を複数部門が個別契約しとる」――300-1000 名規模の中堅企業情シスが直面する典型課題だ。 シャドー IT は情報漏えいリスクとコスト浪費の二重損失を生む。本記事は 4 つの検出手法と 60 日クリーンアッププランを整理する。
目次
シャドー IT が中堅企業で発生する構造
| 要因 | 結果 |
|---|---|
| 部門 SaaS の決裁権が部門長に委ねられとる | 情シス経由しない契約発生 |
| クレジットカード決済 SaaS が経理を素通り | 検出が遅れる |
| 無料プランから業務利用が常態化 | 業務クリティカル化、停止できない |
| 個人契約の SaaS を業務利用 | データ持ち出しリスク |
| M&A で旧子会社契約が引き継がれて未把握 | 重複契約・退職アカウント残存 |
シャドー IT は「悪意」より「業務スピード優先」と「申請プロセスの面倒さ」から発生する。プロセス改善なしの取締りは現場の反発しか生まない。
FDE+ READY
AI/DXを始める前に、業務・データ・権限を整理しませんか？
補助金、法改正、OSS、AI利用ルールなど、導入前に止まりやすい論点を整理し、実装に進める状態を作ります。
被害規模の試算
コスト浪費
中堅企業（500 名）の典型値
把握済み SaaS 契約: 25-40 種
シャドー含む実利用 SaaS: 60-120 種
重複・休眠アカウント: 全ライセンスの 15-25%
年間費用換算
把握済み 1,200 万円 + シャドー 600-1,000 万円
整理効果 30-40%（450-700 万円/年）
セキュリティリスク
| リスク | 影響 |
|---|---|
| 顧客データの SaaS 流出 | 個情法違反、損害賠償、社会的信用失墜 |
| 退職者アカウント残存 | 不正アクセス、内部告発リスク |
| ベンダーセキュリティ事故 | データ漏えい、業務停止 |
| 認可されとらん AI ツール利用 | プロンプト経由の機密漏えい、著作権リスク |
4 つの検出手法
手法 1: 経理データ分析
データソース: 会計システム、経費精算 SaaS、法人カード明細
検出可能: クレジットカード決済 SaaS、振込 SaaS
検出率: 60-75%
所要工数: 5-10 人日（過去 12 ヶ月分分析）
支払先名称に「Software」「SaaS」「.com」「Cloud」を含むレコードを抽出。月次定額決済を優先。
手法 2: MDM・端末ログ
データソース: Intune / Jamf / 端末インストールログ
検出可能: クライアントアプリ系 SaaS、ローカルインストール SaaS
検出率: 70-85%（管理対象端末のみ）
所要工数: 2-5 人日
手法 3: SSO/IdP ログ
データソース: Microsoft Entra ID / Okta / Google Workspace
検出可能: SSO 連携 SaaS（90% 超のメジャー SaaS）
検出率: 80-90%
所要工数: 1-3 人日
手法 4: プロキシ・SWG ログ
データソース: Zscaler / Netskope / 社内プロキシ
検出可能: 全 Web アクセス先（CASB 機能で SaaS 種別判定）
検出率: 85-95%
所要工数: 3-7 人日
実務推奨: 経理 + SSO の 2 手法を先行、被害規模が大きければ MDM・プロキシを追加。CASB 製品導入は年間 200-500 万円かかるので、初回棚卸しは既存ログで進める。
SaaS 評価マトリクス（5 軸）
| 軸 | A 評価 | B 評価 | C 評価 |
|---|---|---|---|
| 1. 業務必要性 | 業務必須 | 補助的 | 不要 |
| 2. データ機密性 | 顧客・財務 | 社内一般 | 公開可 |
| 3. 利用人数 | 全社・部門 | 数名 | 1-2 名 |
| 4. ベンダー信頼性 | ISO / SOC2 取得 | 中堅・上場 | 個人開発・スタートアップ |
| 5. 代替可能性 | 既存 SaaS と重複 | 機能差あり | 唯一無二 |
判定基準
A × 5 → 正規化（情シス管理下、SSO 統合）
A × 3 + B × 2 → 正規化候補
B 中心 → 集約検討（同種 SaaS で統合）
C × 3 以上 → 解約候補
データ機密性 A × 業務必要性 C → 即座解約 + データ削除証跡
60 日クリーンアッププラン
Day 1-15: 検出と一覧化
- 経理 + SSO ログから SaaS 一覧抽出
- 部門長への利用実態ヒアリング
- 一覧シートに統合（SaaS 名 / 利用部門 / 月額 / 用途 / 機密性）
Day 16-30: 評価と判定
- 5 軸評価実施
- 部門長と情シスで判定確定
- A 評価: 正規化計画、B 評価: 集約計画、C 評価: 解約計画
Day 31-45: 解約と移行
- C 評価 SaaS の解約手続き（データエクスポート → 削除証跡 → 解約）
- B 評価 SaaS の集約先選定、移行スケジュール策定
- 部門長合意取得
Day 46-60: 正規化と運用統合
- A 評価 SaaS を SSO 統合、MDM 配信、申請プロセス登録
- 退職者アカウント棚卸し、休眠アカウント停止
- 経営会議に効果報告（コスト削減額・リスク低減）
再発防止の業務フロー
SaaS 申請承認プロセス
1. 利用者が申請フォーム入力（SaaS 名 / 用途 / データ機密性 / 利用人数 / 月額）
2. 部門長承認（業務必要性確認）
3. 情シスレビュー（5 軸評価）
4. データ機密性 A は法務レビュー追加
5. 承認後、経理に契約条件・支払方法登録
6. 情シスが SSO 統合、MDM 配信
7. 四半期棚卸し対象に登録
法人カード決済ルール
- SaaS 月額決済は申請承認後の専用カード使用
- 申請外決済は経理が検出、利用者と部門長に通知
- 3 ヶ月連続申請外決済は人事評価マイナス算入
退職時アカウント停止
- 人事システムから退職予定 30 日前に IdP に通知
- 退職日当日 18:00 にアカウント無効化
- 14 日後にアカウント完全削除（データ移管後）
- 月次レポートで残存数を経営会議に報告
CTA
「経理に通っとらん SaaS が現場で動いとって、棚卸しが追いつかん」
3001000 名規模の中堅企業向けに、4 手法によるシャドー IT 検出 → 5 軸評価 → 60 日クリーンアップ → 再発防止フロー設計まで GXO が伴走します。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
よくある質問（FAQ）
Q. CASB を入れずにシャドー IT 検出は可能か？ A. 経理 + SSO の 2 手法で 80% 程度は検出可能。完全可視化が必要なら CASB / SaaS 管理プラットフォーム（年間 200-500 万円）を検討。
Q. 部門長が解約に反発した場合は？ A. 評価マトリクスで「業務必要性 A」と認定されたら正規化、それ以外は代替案提示と段階的移行で交渉する。情シス単独では押し切らない。
Q. 棚卸しは何回やれば良いか？ A. 初回 60 日で全棚卸し、その後は四半期 1 回の棚卸しと月次の経理データ確認で追跡。再発はゼロにできず常時監視が必要。
参考資料
- 経済産業省「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」
- 情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
- JIS Q 27017（クラウドサービスの情報セキュリティ管理策）
中堅企業 シャドー IT 棚卸し、SaaS ライセンス整理、再発防止フロー設計は GXO のシステム開発サービスで対応可能です。
<!-- GXO_QUALITY_REWRITE_20260507_START -->GXO実務追記: システム開発・DX投資で発注前に確認すべきこと
この記事のテーマは、単なるトレンド紹介ではなく、要件定義、費用、開発体制、ベンダー選定、保守運用を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。
まず決めるべき3つの論点
| 論点 | 確認する内容 | 未整理のまま進めた場合のリスク |
|---|---|---|
| 目的 | 売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか | 成果指標が曖昧になり、PoCや開発が終わっても投資判断できない |
| 範囲 | 対象部署、対象業務、対象データ、対象システムをどこまで含めるか | 見積もりが膨らむ、または重要な連携が後から漏れる |
| 体制 | 自社責任者、現場担当、ベンダー、保守運用者をどう置くか | 要件確認が遅れ、納期遅延や品質低下につながる |
費用・期間・体制の目安
| フェーズ | 期間目安 | 主な成果物 | GXOが見るポイント |
|---|---|---|---|
| 事前診断 | 1〜2週間 | 課題整理、現行確認、投資判断メモ | 目的と範囲が商談前に整理されているか |
| 要件定義 / 設計 | 3〜6週間 | 要件一覧、RFP、概算見積、ロードマップ | 見積比較できる粒度になっているか |
| PoC / MVP | 1〜3ヶ月 | 検証環境、効果測定、リスク評価 | 本番化判断に必要な数値が取れるか |
| 本番導入 | 3〜6ヶ月 | 本番環境、運用設計、教育、改善計画 | 導入後の運用責任と改善サイクルがあるか |
発注前チェックリスト
- 発注前に目的、対象業務、利用者、現行課題を1枚に整理したか
- 必須要件、将来要件、今回はやらない要件を分けたか
- 見積比較で、開発費だけでなく保守費、運用費、追加改修費を見たか
- ベンダー選定で、体制、実績、品質管理、セキュリティ、引継ぎ条件を確認したか
- 検収条件を機能、性能、セキュリティ、ドキュメントで定義したか
- リリース後3ヶ月の改善運用と責任分界を決めたか
参考にすべき一次情報・公的情報
上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。
GXOに相談するタイミング
次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。
- 見積もり依頼前に、要件やRFPの粒度を整えたい
- 既存ベンダーの提案が妥当か第三者視点で確認したい
- 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
- 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
- PoCや診断で終わらせず、本番導入と運用改善まで進めたい
<!-- GXO_QUALITY_REWRITE_20260507_END -->中堅企業（3001000 名）シャドー IT 棚卸し SaaS ライセンス整理 2026｜検出 4 手法と 60 日クリーンアッププランを自社条件で診断したい方へ
GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。
※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。
