Google WorkspaceでシャドーITを検出・管理する実践アプローチ

コラム更新日：2026.08.21

近年、テレワークの定着やクラウドサービスの多様化に伴い、従業員が独自の判断で未許可のツールを利用する「シャドーIT」の問題が深刻化しています。無断で導入されたツールは企業のセキュリティ網をすり抜け、情報漏洩やコンプライアンス違反を引き起こす要因となりかねません。本記事では、Google Workspaceの高度な管理機能を活用し、「見えないIT」を可視化・制御するための実践的なアクションを解説します。

執筆・監修：TSクラウド編集部

Google Cloud の「プレミア認定」を保有する、Google Workspace 正規販売代理店です。業界歴 17 年、延べ 3,500 社以上の導入支援実績（ 2026 年 2 月時点）に基づき、Google Workspace の最新機能から活用術、DX推進に役立つノウハウを専門的な視点で解説しています。

※情報は記事公開（更新）時のものです。Google Workspace の仕様や価格は変更される場合があるため、最新情報は必ず公式ページでご確認ください。

※名称変更に関するお知らせ： NotebookLMは、2026年7月に「Gemini Notebook」に名称が変わりました。メディア内では旧名称が利用されていることがあります。その場合は、Gemini Notebookに読み替えてご確認ください。

シャドーITのリスクと主な発生要因

はじめに、シャドーITが企業内で発生するメカニズムと、対策を先延ばしにすることで組織に降りかかるリスクについて解説します。

シャドーITの基本概要と企業での発生原因

シャドーITとは、従業員が会社の許可を得ずにITツールやクラウドサービス、SNS、個人デバイスなどを業務で利用している状態を指します。これらが発生する要因は、従業員の「業務を効率化したい」という前向きな姿勢にほかなりません。また、ITツールの利用申請プロセスが形骸化してしまっていることも、発生原因の一つとして挙げられます。

情報漏洩だけじゃない！放置すると危険な3つの重大リスク

シャドーITを放置することで企業が直面するリスクは、大きく分けて以下の3つです。

情報漏洩：個人用アカウントや未許可のオンラインストレージに機密データが保存されると、従業員の退職時にアクセス権限の剥奪ができず、社外にデータが残り続ける事態に直面します。
コンプライアンス違反：法令や業界のガイドラインで求められるアクセスログや監査ログが取得できないため、万が一インシデントが発生した際に企業としての説明責任を果たすことができません。
サイバー攻撃：脆弱性が放置された個人所有のデバイスや、セキュリティ基準を満たしていない無料サービスを経由して、社内ネットワーク全体がサイバー攻撃の脅威にさらされる危険性が高くなります。

Google WorkspaceでシャドーIT検出は可能？

Google Workspace の機能を活用すれば、組織内のシャドーITを検出することが可能です。どのような原理でシャドーITを特定できるのか、そして調査の要となる監査ログの仕様について解説します。

Googleログイン（OAuth）による外部サービス連携の仕組み

新しいアプリケーションを利用する際、「Googleでログイン」というボタンが表示されることがあります。アカウントの新規作成を省くために、Google アカウントを利用した経験がある方は多いでしょう。

この便利な連携機能の裏側で利用されているのが、「OAuth（オーオース）」と呼ばれる仕組みです。従業員が業務用アカウントで外部サービスにログインすると、アクセス権限が委譲（連携）されます。この履歴はGoogle Workspace上にすべて記録され、管理者は新しく使い始められたツールを簡単に洗い出せます。

これが、Google Workspaceを活用したシャドーIT検出の基本的な仕組みです。

監査ログで取得できるデータと保管期間の基礎知識

前述した記録は、Google Workspaceの管理コンソール内にある「監査ログ」に蓄積され、管理者は以下のデータを追跡できます。

外部サービス連携ログ：どのユーザーが、どの外部アプリケーションにGoogle アカウントを使ったサインインを許可したか
サインイン履歴：ユーザーがいつ、どこから、どのようなデバイスやIPアドレスでログインしたか
ドライブの監査ログ： Google ドライブ上のファイルがどのように外部に共有されたり、大量のデータダウンロードや転送が行われたりしたか

ただし、ほとんどのログの保持期間は「6か月」と定められています。もし、従業員が半年以上前から個人のストレージサービスにデータを移行していたとしても、保持期間を過ぎていれば、その利用の痕跡を突き止めることは困難になってしまいます。

コンプライアンスや社内ポリシーなどの理由で6か月以上の長期保存が求められる場合は、Google Cloudの「BigQuery」へログをエクスポート（転送）するなどの対応が必要です。

実践！管理コンソールでの調査と可視化の4ステップ

シャドーITの実態を可視化し、適切な対処を行うためには、以下の4つのステップを定期的に実行することが重要です。

ステップ1.可視化（発見）

管理コンソールからGoogle アカウント連携（OAuth）されているサードパーティ製アプリを洗い出し、全貌を把握します。

操作手順：「セキュリティ」＞「アクセスとデータ管理」＞「APIの制御」を開く。

チェック：「アプリのアクセス権を管理」を選択し、未許可のサードパーティ製アプリの一覧を表示・出力する。

ステップ2.特定（対象ユーザーの把握）

検出されたツールやアプリの利用者を洗い出し、個人的な利用か組織的な導入かを判別します。

操作手順：該当アプリケーションの詳細画面、または「レポート」＞「監査と調査」＞「Oathのログイベント」を開く。「フィルタ」から該当アプリケーションのIDや名称を入力して「検索」。

チェック：利用ユーザー一覧を確認し、特定個人だけの利用か、同一部署の複数人による利用（業務プロセスとしての定着）かを確認する。

ステップ3.分析（利用実態の調査）

アクティビティログからアクセスの頻度やデータのやり取り状況を調べ、リスク強度を判定します。

操作手順：「レポート」＞「監査と調査」を開き、「OAuthのログイベント」や「ドライブのログイベント」を確認。
チェック：ログイン頻度やアプリに許可されている権限範囲（スコープ）を確認。また、ドライブログから社内ファイルの過度な共有や持ち出しが発生していないかを調べる。

ステップ4.仕分け・対処（認可またはブロック）

分析結果に基づき、安全なツールは運用ルールを整えて認可し、危険なツールはアクセスを拒否します。

操作手順：「セキュリティ」＞「アクセスとデータ管理」＞「APIの制御」を開き、「アプリのアクセスを管理」を選択。

チェック：業務上の必要性と安全性が確認できたアプリケーションは「信頼できる」に変更して正式認可する。セキュリティリスクが高い場合は「ブロック」に変更し、アクセス権限（トークン）を取り消す。

これらのステップによって、見えないリスクをコントロール下に置くことができます。

【応用】DLP（データ損失防止）機能による情報流出の自動ブロック

シャドーIT対策をさらに盤石なものにするのが、情報流出をシステム側で強制的に食い止めるDLP（データ損失防止）機能です。

DLPは、単なる監視ツールではありません。機密情報を含むデータのやり取りを常時スキャンし、あらかじめ設定したセキュリティポリシーに反する動き（外部ドメインへの共有や送信など）があれば、例外なくブロックするという強固な仕組みを持っています。

悪意のあるデータ持ち出しはもちろん、従業員の過失による誤送信であっても、情報が社外に出る一歩手前でシステムが確実に介入するため、シャドーITに対する最も確実な防衛策となります。

※本機能を利用可能なプランや具体的な設定方法については、以下の関連記事にて解説しています。

検出後に実施すべきアクセス制限とセキュリティポリシー策定

Googleの管理コンソールによって未許可のツールを発見しアクセスを遮断するだけでは、根本的な解決には至りません。ここでは、検出後に実施すべき対策について解説します。

現場がシャドーITに走る「根本的な理由」をヒアリングする

未許可のツールが検出された際は、懲罰的な対応やアカウントの停止を行う前に、丁寧なヒアリングを実施することが重要です。「会社支給のシステムでは外部とのファイル共有容量が足りない」「取引先から特定のチャットツールの使用を強く求められた」など、やむを得ない理由が存在することが多々あります。

業務フローにおけるボトルネックを正確に把握し、現場の課題に寄り添うことで、建設的な解決策を導き出すことができます。

認可ルールと標準ツールの拡充（Google Workspace等の有効活用）

ヒアリングの結果をもとに、クラウドサービスの認可ルールを柔軟に整備し直しましょう。複雑で時間のかかる申請手続きは、シャドーITを助長する最大の要因です。

それと同時に、すでに導入しているGoogle Workspaceの標準機能を最大限に活用するよう、社内への啓蒙活動を徹底します。たとえば、大容量ファイルの外部共有には個人のストレージではなくGoogle ドライブの有効期限付き共有リンクを利用し、社外との素早い連絡にはGoogle Chat の外部チャット機能を活用するなど、安全な代替手段を具体的に提示することが肝要です。

また、業務アプリを作れる「AppSheet 」の活用を周知すれば、安全な環境で業務効率化が図れるため、野良アプリの蔓延を防ぐことができます。