はじめに
「ChatGPTって、業務で使ってもいいですか？」
この数年で、多くの情報システム部門（情シス）が一度は受けたことのある質問ではないでしょうか。
数年前までは、「生成AIを業務で使う」という発想そのものが一般的ではありませんでした。
しかし現在では、ChatGPTだけでなく、Claude、Gemini、NotebookLM、Copilotなど、多くの生成AIが日々の業務に浸透し始めています。営業担当者は提案書の作成に利用し、開発者はプログラムのレビューに活用し、総務部門では議事録の要約や文章作成を任せる。
生成AIは、もはや一部の技術者だけが使うツールではなく、誰もが日常業務で利用できる存在になりました。
一方で、その便利さゆえに、新たな課題も生まれています。
それは、「会社が把握していないAI利用」です。
情シスへ相談された上で利用される生成AIであれば、利用規約やセキュリティ、データの取り扱いなどを確認し、社内ルールに沿って運用できます。しかし実際には、「無料だから大丈夫だろう」、「個人アカウントなら問題ないだろう」、「少し試すだけだから」という理由で、情シスへ相談することなく利用されるケースも少なくありません。
もちろん、利用者に悪意はありません。
むしろ、「もっと仕事を効率化したい」という前向きな目的で利用していることがほとんどです。
だからこそ、この問題は単純に「禁止しましょう」では解決できません。
便利なものは、必ず使われます。
そして、新しいAIサービスは、これからも次々と登場していくでしょう。
AI時代に情シスが考えるべきことは、「利用を止めること」ではなく、「利用状況を把握し、安全に活用できる環境を整えること」ではないでしょうか。
本記事では、近年話題となっている「シャドーAI」を切り口に、
- なぜ企業で問題になるのか
- シャドーITとの違いは何か
- 情シスはどのように利用状況を把握すればよいのか
- CASBやDNS セキュリティはどのような役割を担うのか
について、実際の運用をイメージしながら解説していきます。
「ChatGPTって使ってもいいですか？」
ある日のこと。営業担当者から、こんな相談を受けました。
「ChatGPTって、業務で使ってもいいですか？」
この質問に、皆さんならどう答えるでしょうか。
「会社として利用を許可しているので使ってください」
あるいは、「まだ社内ルールが決まっていないので待ってください」
企業によって答えはさまざまでしょう。
しかし、この質問には、もう一つ考えなければならないことがあります。
それは、相談されるAIよりも、相談されないAIの方が多いかもしれない ということです。
例えば、営業担当者が取引先から「このAI便利ですよ」と教えてもらい、その日のうちに試してみる。
開発者が海外の技術ブログで新しいAIを知り、コードレビューに使い始める。
マーケティング担当者がSNSで見つけた生成AIを使って、広告文を作成する。
こうした利用は、特別なことではありません。ブラウザを開き、メールアドレスを登録するだけで、数分後には利用を開始できます。インストール作業も、管理者権限も必要ありません。
だからこそ、情シスが気付かないまま、新しいサービスが社内へ浸透していくのです。
図1(気づかないうちに増えるシャドーAI)は、その状況を表しています。
情シスへ相談されるAIは、全体のほんの一部です。
その裏では、多くのAIサービスが、部署や個人の判断で利用されている可能性があります。
もちろん、すべてが危険というわけではありません。
重要なのは、「利用されているかどうか分からない」という状態です。
見えていなければ、リスク評価もできません。利用ルールも作れません。必要に応じて代替サービスを提案することもできません。
つまり、「管理できない」のではなく、「見えていない」ことが問題なのです。
この「見えないIT」は、実は生成AIが初めてではありません。
次章では、シャドーAIの背景にある「シャドーIT」の歴史を振り返りながら、その本質について考えていきます。
シャドーAIは突然現れた問題ではない
生成AIが急速に普及したことで、「シャドーAI」という言葉を耳にする機会が増えました。
しかし、この問題は決してAIだけに限った話ではありません。少し振り返ってみると、企業ではこれまでも同じような出来事が繰り返されてきました。
かつては、USBメモリの持ち込みが問題になりました。
会社支給ではないUSBメモリへファイルをコピーし、自宅で作業を続ける。
その結果、紛失による情報漏えいが社会問題となり、多くの企業がUSBメモリの利用を制限するようになりました。
その後は、DropboxやGoogle Driveなどのクラウドストレージが普及します。
大容量のファイルを簡単に共有できる便利さから、多くの社員が利用を始めました。
しかし、会社が契約していない個人アカウントへ業務データが保存されるケースも増え、新たな管理課題となりました。
さらに、Slack、Teams、Zoom、Notion、Trello、GitHubなど、業務を効率化するクラウドサービスが次々と登場します。そのたびに情シスは、「会社として利用を認めるべきか」、「どのように管理すべきか」という判断を迫られてきました。
つまり、「便利なサービスが登場し、現場が先に使い始める」という流れは、今に始まったことではありません。生成AIは、その流れをさらに加速させた存在と言えるでしょう。
図2(シャドーITは進化している)を見ると分かるように、シャドーITは時代とともに姿を変えています。
昔はUSBメモリという「モノ」を管理すれば済みました。
クラウドサービスが普及すると、「サービス」を管理する必要が生まれました。
そして現在は、AIが自律的に情報を処理し、業務を支援する時代へと移りつつあります。
今後はAIエージェントの普及により、
- AIがメールを書く
- AIが資料を作る
- AIがシステムを操作する
- AIが複数のSaaSを連携する
といった利用も一般的になるでしょう。
つまり、管理対象は「アプリケーション」から、「AIが利用するサービス」へと広がっていきます。
だからこそ、これまで以上に「何が利用されているのか」を把握することが重要になります。
シャドーAIは「悪」なのか？
ここで一つ、考えてみたいことがあります。
シャドーAIを利用している社員は、本当にルールを守らない人なのでしょうか。
実際には、そのようなケースは多くありません。
営業担当者は、お客様への提案資料を少しでも早く作りたい。
開発者は、コードレビューを効率化したい。
総務担当者は、会議の議事録を短時間でまとめたい。
マーケティング担当者は、アイデア出しの時間を短縮したい。
つまり、多くの利用者は、「もっと仕事を効率よく進めたい」という目的で生成AIを利用しています。これは、これまでのシャドーITと本質的に変わりません。
便利だから使う。早く仕事が終わるから使う。周囲が使っているから使う。
そこに悪意はありません。だからこそ、情シスの役割も変わりつつあります。
以前は、「禁止すること」が中心でした。
しかしAI時代には、「安全に使える環境を整えること」の方が重要になります。もちろん、機密情報を学習させてしまうような利用は避けなければなりません。
一方で、生成AIそのものを全面的に禁止してしまえば、業務効率や競争力を損なう可能性もあります。情シスに求められるのは、利用を止めることではなく、適切に管理すること。
その第一歩が、「何が利用されているのかを知ること」なのです。
では、実際に情シスはどのように利用状況を把握すればよいのでしょうか。
次章では、シャドーAIやシャドーITを「見える化」するための代表的な方法について紹介します。
どうすれば「見える化」できるのか
ここまで見てきたように、シャドーAIやシャドーITの本質的な問題は、「利用されていることが分からない」という点にあります。
では、情シスはどのようにして利用状況を把握すればよいのでしょうか。
実際の企業では、一つの方法だけで把握できるケースはほとんどありません。複数の情報を組み合わせながら、少しずつ全体像を明らかにしていきます。
例えば、
- 利用者へのヒアリング
- SaaSの契約状況
- 経費精算データ
- Proxyログ
- Firewallログ
- DNSログ
- CASB
などが代表的な情報源になります。
図３(シャドーITはどう見つける)では、シャドーITの可視化方法についてまとめています。
例えば、ヒアリングでは「普段どんなAIを使っていますか？」という質問から情報を集めることができます。しかし、すべての利用者が正確に答えられるとは限りません。
本人も気付かないうちに複数のAIサービスを利用していることもあります。
また、会社が契約しているSaaSであれば管理できますが、無料サービスや個人契約のAIまでは把握できません。そのため、多くの企業ではネットワークのログも活用しています。ProxyやFirewallのログを見ることで、どのサービスへアクセスしているかを把握できます。
ただし、ここにも限界があります。
最近では、
- 社外から利用する
- テレワーク
- VPNを利用しない接続
- モバイル回線
なども増え、社内ネットワークだけでは利用状況を十分に把握できなくなってきました。
そのため、「クラウドサービスの利用を可視化する専用製品」も広く利用されるようになっています。その代表例が、CASB（Cloud Access Security Broker）です。
CASBとは？
CASBは、利用者とクラウドサービスの間で、アクセス状況を把握し、利用ルールを適用するためのソリューションです。
例えば、Microsoft 365、Google Workspace、Salesforce、Box、Dropboxなど、企業で利用する主要なSaaSについて、「誰が いつ どのサービスへ どのような操作を行ったか」 を把握できます。
さらに、
- DLP（情報漏えい対策）
- ファイル共有制御
- ポリシー適用
- アクセス制御
- 異常な利用の検知
なども実現できます。
つまりCASBは、「承認されたクラウドサービスを深く管理する」ことが得意な製品です。
図４(CASBとは？)では、CASB製品の主な機能をまとめています。
一方で、生成AIを取り巻く環境は急速に変化しています。
毎週のように新しいAIサービスが登場し、無料版だけでも数多くのサービスが公開されています。当然、それらすべてがCASBで詳細に管理できるとは限りません。また、利用者が「少し試してみる」ためにアクセスしただけのAIサービスは、管理対象として登録されていないケースもあります。
そこで近年、注目されているのが DNSレベルでの可視化です。
DNS セキュリティという新しいアプローチ
私たちがWebサイトやクラウドサービスへアクセスするとき、必ずと言っていいほどDNSによる名前解決が行われます。つまり、AIサービスであっても、SaaSであっても、クラウドストレージであっても、最初の入口にはDNSがあります。
この特徴を利用すると、「どのクラウドサービスへアクセスしようとしているか」を広い範囲で把握できます。
CASBのようにサービス内部の操作内容まで管理するわけではありません。
しかし、「何が利用されているのか」を把握するには非常に有効な方法です。
図５(DNS Securityによる見える化)では、DNS セキュリティ製品の主な機能をまとめています。
社内ネットワークからのDNS通信を可視化し、エージェントを利用することで、社外やテレワーク環境を含めたアクセス状況の把握を支援します。
もちろん、DNS セキュリティだけですべての管理が完結するわけではありません。
しかし、新しいAIサービスが次々と登場する現在では、まず「何が利用されているのかを知ること」が、適切なガバナンスの第一歩になります。
CASBとDNS セキュリティは競合ではない
CASBとDNS セキュリティは、どちらもクラウドサービスの利用状況を把握するための技術ですが、役割は異なります。
CASBは、承認済みのSaaSに対して、利用状況や操作内容を深く管理することを得意としています。
一方、DNS セキュリティは、ネットワーク全体を俯瞰し、未知のAIサービスや新しいSaaSを含めて、広く可視化することを得意としています。
言い換えれば、
- CASB：深く管理する技術
- DNS セキュリティ：広く見つける技術
となります。
どちらか一方を選ぶというよりも、それぞれの特長を理解し、目的に応じて組み合わせることで、より実践的なITガバナンスを実現できます。
見える化はゴールではない
ここまで、シャドーAIやシャドーITへの対応として、「見える化」の重要性について見てきました。
では、利用状況が見えるようになれば、それで問題は解決するのでしょうか。
答えは、「いいえ」です。見える化は、あくまでもスタート地点に過ぎません。
例えば、社内で新しい生成AIサービスが利用されていることが分かったとします。
その時に、本当に考えるべきことは何でしょうか。
そのAIサービスは、
- 業務利用を認めるべきなのか
- 機密情報を入力しても問題ないのか
- 他により安全な代替サービスはないのか
- 利用ルールを定める必要はあるのか
といった判断です。
つまり、「見えること」と「管理できること」は同じではありません。
見える化によって初めて、リスクを評価し、適切なルールを整備し、継続的に運用を改善していくことができます。
図６(見える化から始まるIT運用)では、IT運用サイクルについてまとめています。
AIやクラウドサービスは、これからも進化を続けます。新しいサービスが登場するたびに、「禁止するか、許可するか」という議論を繰り返すだけでは、変化のスピードについていくことは難しいでしょう。
だからこそ、これからの情シスには、変化を前提とした運用が求められます。
「すべてを禁止する」のではなく、「利用状況を把握し、リスクに応じて適切に管理する」。
この考え方こそが、AI時代のITガバナンスの基本になるのではないでしょうか。
情シスの役割も、時代とともに変化しています。
以前は、システムを安定稼働させることが主な役割でした。
その後は、クラウドサービスの導入やゼロトラストへの対応など、守るべき対象が広がってきました。
そして今、生成AIの普及によって、情シスは「業務変革を支える存在」としての役割も期待されています。
その第一歩となるのが、「見える化」です。利用状況を把握し、事実に基づいて判断する。
その積み重ねが、安全で柔軟なIT環境につながっていきます。
生成AIから「AIエージェント」の時代へ
ここまでご紹介してきた「シャドーAI」は、主にChatGPTやClaudeなどの生成AIサービスを利用するケースを想定しています。
しかし現在は、AIの進化とともに、新たな「AIエージェント（Agentic AI）」が急速に普及し始めています。AIエージェントは、質問に回答するだけでなく、PC上でファイル操作やコード生成・実行、外部サービスとの連携など、自律的にさまざまなタスクを実行できることが特徴です。
このようなAIツールは、業務効率を飛躍的に向上させる一方で、企業にとっては新たな管理対象にもなります。
そのため、AI時代のIT運用では、
- AIサービスの利用状況を把握する「見える化」
- 必要に応じて利用を管理・制御すること
の両方が重要となります。
Heimdalでも、DNS セキュリティによるAIサービスの可視化に加え、アプリケーションコントロールを活用してAIエージェントの利用を適切に管理・制御するためのナレッジが公開されるなど、AI時代の新たな課題への対応が進められています。
今後、生成AIの活用がさらに広がるにつれて、企業には「見える化」と「制御」を組み合わせた運用が、これまで以上に求められるようになるでしょう。
おわりに
生成AIは、今後さらに身近な存在になっていくでしょう。
AIエージェントのように、AIが自律的に業務を支援するサービスも増え、企業で利用されるクラウドサービスは、これまで以上のスピードで増加していくと考えられます。
そのような時代において、情シスに求められるのは、「利用を止めること」ではなく、「安心して利用できる環境を整えること」です。
そのためには、まず「何が利用されているのか」を把握することが欠かせません。
シャドーAIへの対応は、AIだけの問題ではありません。これからのITガバナンス全体を考える上での、新しい出発点とも言えるでしょう。
しかし、利用状況が見えるようになっただけでは、企業を守ることはできません。
例えば、業務で利用されているブラウザやアプリケーションに脆弱性が残っていた場合、攻撃者はそこを狙います。ChromeやAdobe Acrobat Reader、Zoom、Python、開発ツールなど、多くのソフトウェアはWindows Updateだけでは最新の状態を維持できません。
「何が利用されているのか」を把握した後は、「それらを安全な状態に維持すること」が重要になります。
次回は、「Windows Updateだけでは守れない時代のパッチ管理」をテーマに、AI時代のIT運用に欠かせない脆弱性対策について解説します。
「見える化」の次に取り組むべきことを、考えていきましょう。
Heimdal セキュリティスイートを試してみませんか？
シャドーAI、シャドーITの「見える化」は、Heimdalの統合プラットフォームで実現。
無料トライアル受付中です。
▶ Heimdal セキュリティスイート の製品ページを見る
参考文献・出典
- Heimdal ナレッジサイト「Agentic AIの利用をHeimdalで適切に管理、制御するには」
本記事はここまでとなります。
もし気になった点やご質問などあれば、お気軽にお問い合わせください。
