カオスの可視化: Microsoft 365 でシャドウ IT を見つける方法

By Mirko Peters · 2026-08-11

ポッドキャストへようこそ。環境を安全に、管理しやすく、そして最高のパフォーマンスで運用し続けるための継続的な深掘りシリーズに、今回も戻ってきていただきました。Micr…を管理している場合は…

Automatically translated with AI from the original post. Read the English original

ポッドキャストへようこそ。環境のセキュリティ、管理性、そしてパフォーマンスを最良の状態に保つための継続的な深掘りに、また戻ってきていただきました。Microsoft 365 テナントを管理している方なら、完全なコントロールは常に動き続けるものだとご存じでしょう。セキュリティベースラインをどれほど厳格にしても、ユーザーは隙間を見つけ、日々の業務を効率化し、サードパーティ製ツールを持ち込みます。このユーザーの工夫は生産性を高める一方で、シャドウ IT という大きなリスクの入り口にもなります。このテーマをさらに掘り下げ、テナント内の混乱にどう対処するかについての活発な議論を聞きたい方は、関連エピソードの Detect Shadow IT in Microsoft 365 をぜひお聴きください。

このブログ記事では、そのポッドキャストの内容をさらに広げています。隠れた場所に潜む未管理のアプリケーション、リスクのある OAuth アクセス許可、管理されていないコネクタを見つけ出す包括的な戦略をご紹介します。ネイティブの Microsoft ツールを使えば、組織の生産性を止めることなく、場当たり的な対応から先回りしたガバナンスへとアプローチを転換できます。

カオスの実態

問題を解決する前に、何を探しているのかを理解する必要があります。Microsoft 365 におけるシャドウ IT は、悪意のあるハッカーが正面玄関を破ってくるような形で現れることはまれです。むしろ、利便性という形で現れます。たとえば、マーケティングチームが手軽な自動化ツールを立ち上げたり、経営幹部が目新しいカレンダーアプリに広範なアクセス許可を与えたりするケースです。

テナントの混乱によく見られるパターンは次のとおりです。

• 個人向けサービスに接続された、想定外の Teams ボットや Power Automate コネクタ。
• 過度に共有された SharePoint リンク（誰でも閲覧可能）や、プロジェクト終了後も残っている不明な外部ゲスト。
• 「すべてのメールボックスの読み取り」など、広範な OAuth スコープを持つアプリケーション。善意の従業員が、カレンダー同期ツールを使えるようにしたいだけで承認してしまったケースです。
• 元従業員が所有し、機密性の高い組織データを今も静かに同期し続けている孤立したアプリ。

調査: シャドウ IT を可視化するネイティブツール

テナントの可視性を得るために、高価なサードパーティ製スイートを購入する必要はありません。Microsoft は、お使いのライセンス階層にすでに含まれている可能性が高い、強力な診断・セキュリティ機能を提供しています。重要なのは、どこを見るべきか、何をクエリすべきかを知ることです。

• Microsoft Defender for Cloud Apps (MCAS) のシャドウ IT 検出: ネットワーク全体のトラフィックパターン、アプリのリスクスコア、利用傾向を分析します。
• Entra ID (Azure AD) のサインイン & 監査ログ: どのユーザーがいつ、どこから、どの特定のスコープについてアプリケーションに同意したかを確認します。
• エンタープライズアプリ > アクセス許可: テナント内で現在有効な、管理者による同意およびユーザーによる同意の両方のアプリを一覧化します。
• Power Platform 管理センター: 管理されていない Power Automate コネクタや不正な自動化フローを発見します。
• SharePoint/OneDrive のレポート: 情報漏えいにつながる前に、匿名リンクや外部共有の集中箇所を特定します。

ヒント: 調査は、Mail.Read、Files.Read.All、Sites.Read.All、offline_access などテナント全体のスコープを要求しているアプリと、外部ゲストがインストールしたアプリから始めることをお勧めします。

線引きをする（ワークフローを止めずに）

問題の全体像が見えてくると、すべてのスイッチを「ブロック」に切り替えてテナントを完全にロックダウンしたくなるかもしれません。その衝動は抑えてください。壁が高すぎると、ユーザーは必ず回避策を見つけ、シャドウ IT の問題はさらに地下に潜ってしまいます。代わりに、賢い運用上の線引きを行う必要があります。

• アプリの同意ポリシー: 既定ではユーザーによる同意をブロックしつつ、影響の小さいスコープに限り、検証済みの発行元には例外を認めます。リスクの高い要求は、ServiceNow または Power Automate を使って IT の承認ワークフローへ直接回してください。
• アプリ向けの条件付きアクセス: リスクのあるアプリへのアクセスには、多要素認証、準拠デバイス、信頼された場所を必須とします。会議室やサービスアカウントは適切に除外しつつ、レガシーまたはサポート対象外のクライアントの種類はブロックします。
• Power Platform のガバナンス： データ損失防止（DLP）ポリシーを実装し、ビジネス用コネクタと非ビジネス用コネクタを厳密に分離します。ソリューション対応フローを有効にし、カスタム コネクタの作成を制限します。
• 外部共有のガードレール： 共有リンクの既定値を「組織内のユーザー」に設定し、ゲスト用リンクには有効期限の設定を必須にします。外部ゲストには厳格なスポンサー モデルを適用します。

1週間の修復スプリント（実践プレイブック）

テナントの整理は、数年に及ぶ IT 変革プロジェクトである必要はありません。段階的な修復スプリントに沿って進めれば、わずか5〜7日で大幅なリスク低減を実現できます。

1〜2日目：検出

• MCAS のシャドー IT レポートと Entra ID のアプリのアクセス許可のエクスポートを取得します。
• 管理者が同意したすべてのアプリ、テナント全体に対するスコープ、ゲストが所有するアプリケーションにフラグを立てます。

3日目：封じ込め

• ユーザーによる同意を無効にします（または、検証済みの発行元による低リスクのスコープに厳格に制限します）。
• リスクの高いスコープについては、アプリごとに条件付きアクセス ポリシーを作成し、MFA と準拠デバイスを必須にします。

4日目：クリーンアップ

• 未使用または所有者のいないアプリを取り消します。重要なフローについては元の所有者に連絡し、必要に応じてサービス アカウントへ移行します。
• SharePoint の外部共有の既定値と、リンクの有効期限のタイムラインを厳格化します。

5日目：ガバナンス

• 新しいアプリケーション向けに、自動化された申請と承認のワークフローを展開します。
• 承認済みアプリのカタログを、わかりやすい「例外を申請」フォームとあわせて公開します。

6〜7日目：監視と周知

• 新たな高リスクの同意や、通常と異なるサインインの動作に対して、異常検出アラートを有効にします。
• 組織全体に「アプリの申請方法」のわかりやすいガイドを送信し、ブロックされる動作と承認済みの代替手段を明記します。

ポリシー テンプレート（クイック スタート）

構成作業を素早く始められるよう、Microsoft 365 環境で今すぐ実装できるクイック スタート用のポリシー テンプレートを2つ紹介します。

• アプリの同意ポリシー：
  • 許可：検証済みの発行元であり、厳格な基準一覧に含まれるスコープのみ（openid、profile、email、offline_access のみ）。
  • 承認が必要：Mail.Read*、Files.Read*、Sites.Read*、Chat.Read*、Calendars.ReadWrite、Directory.Read.All のいずれかを要求する場合。
  • 次の権限は完全に拒否します：Mail.ReadWrite、Files.ReadWrite.All、full_access_as_app。
• 条件付きアクセス（アプリごと）：
  • リスクのある OAuth アプリケーションを含むクラウド アプリを対象にします。
  • MFA と準拠デバイスが確認できた場合にのみアクセスを許可します。リスクの高いサインインや不明な国からのサインインは、アクセスを完全にブロックします。

効果を裏付ける KPI

セキュリティ チームは指標を重視しますが、経営層が求めるのは取り組みの成果が出ていることの証拠です。以下の主要業績評価指標（KPI）で進捗を追跡し、実際のリスク低減を示してください。

• 検出されたシャドー アプリと、承認済みまたはブロック済みのアプリの比率（目標：30日以内に80%を超えて解決）。
• 月ごとの新規ユーザー同意アプリ数（目標：ほぼゼロ。新しいアプリはすべて公式ワークフローを経由）。
• 付与された高リスクのスコープ数（目標：絶対にゼロ）。
• 共有リンクのうち「誰でも」に設定されたもの（目標：60日以内に90%削減）。
• サードパーティ アプリケーションに直接起因するセキュリティ インシデント（目標：四半期ごとに40%削減）。

見直しのサイクル（クリーンな状態を維持するために）

シャドー IT の検出と修復は一度で終わるプロジェクトではなく、継続的な衛生管理の取り組みです。テナントが再び混乱に陥らないよう、定期的な見直しサイクルを設定してください。

• 毎月：新しい同意を確認し、高リスクのスコープを点検し、所有者のいないアプリを監査し、ゲストによるアプリのインストールを確認します。
• 四半期ごと：DLP ポリシーのずれを確認し、Power Platform 環境を監査し、外部共有レポートを確認します。
• 組織変更後：アプリの所有者を速やかに再割り当てし、従業員が退職または異動した際には、アプリの目的とスコープを再検証します。

迅速なトラブルシューティング マップ

障害が発生したり、セキュリティ アラートが作動したりした場合は、すぐに答えが必要です。ヘルプデスクとセキュリティ運用チームがすぐに参照できるよう、このトラブルシューティング マップを手元に用意してください。

• 「このアプリはどこから来たのか？」 Entra ID > エンタープライズ アプリケーション > 監査ログで ConsentGranted イベントを確認します。
• 「なぜ突然メールが漏えいしたのか？」 アプリのスコープに Mail.* が含まれていないかを確認し、監査ログで MailItemsAccessed イベントを確認します。
• 「外部ゲストが未承認のツールを接続していないか?」 エンタープライズ アプリをOwnerがGuestである条件でフィルターし、そのアプリへのアクセスを取り消したうえで、スポンサー申請の経路を整備します。
• 「Power Automate フローが個人向けサービスに接続していないか?」 業務外コネクタを検出しているDLPポリシー違反を確認し、承認済みの業務用サービスへ移行します。

ユーザーに嫌われない変更管理

シャドーITガバナンスの成否は、ユーザーがそれをどう受け止めるかにほぼ左右されます。「セキュリティ担当の取り締まり」のように振る舞えば、利用率は急落し、回避策が急増します。そこで重視すべきは、ユーザー中心の支援です。

• 承認済みのツールと、そのデータの取り扱い範囲をまとめたアプリカタログを、誰でも見られる形で公開します。
• 人気のあるユーザー向けアプリをブロックする前に、安全でサポートされた代替手段を提供します。
• 申請ガイドはシンプルに保ちましょう。必要な情報と想定されるSLAを1ページにまとめるだけでも、大きな効果があります。
• 危険なシャドーITコネクタを、安全で公式にサポートされた業務ワークフローに置き換えた成功例などは、社内で積極的に共有しましょう。

エグゼクティブ向けの重要なポイント

これらの戦略をチームに持ち帰る際や経営層に提示する際は、次の4つの重要なポイントを常に前面に置いてください。

• シャドーITを完全になくすことは不可能ですが、管理されていない組織的リスクを抱え続ける必要は全くありません。
• 検出と制御の80%は、すでに保有している可能性が高いMicrosoftの組み込みツールで対応できます。
• ワークフローは常に行き止まりの壁に勝ります。賢い承認プロセスは、生産性を保ちながらリスクを減らします。
• 四半期ごとのリスク低減を経営層に明確に示せるよう、意味のあるKPIをいくつか追跡してください。

記事をお読みいただき、そしてポッドキャストをお聴きいただきありがとうございます。これらの手法をさらに詳しく音声で解説しているエピソード Detect Shadow IT in Microsoft 365 もぜひご覧ください。引き続きセキュリティを保ち、テナントをクリーンに保ちましょう。次回のエピソードでお会いしましょう。