SG｜シャドーITとサイバーハイジーンをわかりやすく解説

【情報セキュリティマネジメント】シャドーITとサイバーハイジーン、遮断だけで終わらせない｜BYOD・管理外IT・資産把握

テキスト

情報セキュリティマネジメント試験（SG）『シャドーITとサイバーハイジーン』を基礎から学べる簡易テキストです。BYOD・管理外IT・資産把握など、試験で必要となる考え方や重要ポイントを初学者向けに整理しています。

2026.09.05 2026.08.27

未承認のクラウドサービスや生成AIを見つけて通信を遮断しても、業務上の必要性が残れば別の管理外サービスへ移ることがあります。

この記事では、シャドーIT、BYOD、サイバーハイジーンについて、止めた後に何を確認し、どう管理可能な状態へ戻すかを整理します。

読み終えるころには、事例の対応が遮断や処分で止まっていないかを見分けられるようになります。

1．SGではどこまで押さえるか

Ver.4.1では、シャドーIT、BYOD、サイバーハイジーン、MDMが用語例に明示されています。

特定製品の設定手順ではなく、適切な管理判断を選べることを目標にします。

シャドーITは、所定の承認を受けず、組織が十分に把握・管理できていない機器、ソフトウェア、クラウドサービスなどを業務に利用することです。

未承認の生成AIへ顧客情報を入力していた場合は、入力情報の種類・範囲、保存・利用条件、削除可否、インシデント対応の要否を確認します。

遮断や処分だけで終わらせず、申請手続を整え、必要な機能を持つ承認済みサービスへ移すことが再発防止につながります。

BYODは、従業員が所有する端末を業務へ利用する形態です。正式に許可・管理されていれば、BYODそのものがシャドーITになるわけではありません。

許可する場合は、利用可能な端末・業務、更新・画面ロック・暗号化、紛失時の報告、業務データの保存、MDMなどの管理範囲、遠隔ロック・消去、利用終了時のデータ削除を定めます。

私物端末には個人の写真や連絡先などもあります。可能な場合は業務領域を分離し、組織が取得する情報と管理権限を事前に説明します。

遠隔消去だけに頼らず、暗号化、アクセス制御、アカウント停止などと組み合わせます。

サイバーハイジーンは、IT環境を安全な状態に保つため、基本的な管理を日常的・継続的に行う考え方です。

シャドーITは管理対象の把握を難しくするため、サイバーハイジーンともつながります。

未承認利用を見つけたら、次を確認します。

担当者としては、未承認利用を見つけても利用者を責めることを目的とせず、業務上の必要性を聞き取ったうえで承認済みの手段を示します。代替手段がない場合や、利用を認めるかどうかの判断が必要な場合は、独断で決めず、上位者や情報システム部門へ報告して指示を仰ぎます。

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。