Chrome Enterprise Premium で防ぐ
シャドーIT対策と設定手順

最近、社内で便利なクラウドツールや生成AIが次々と使われるようになり、管理が追いついていない…と頭を悩 ませているIT担当者は多いのではないでしょうか。

クラウド化が進む一方で、企業の管理が及ばないIT利用が深刻な問題となっています。「情報漏洩が起きたらど うしよう」と焦る一方で、業務効率を損なわずに最適な対策を見極めるのは容易ではありません。

本記事では、シャドーITがもたらすリスクから、Googleのブラウザセキュリティ「Chrome Enterprise Premium（ CEP）」を活用した対策までを分かりやすく解説しています。効果的な解決策を探している方は、ぜひ参考にして みてください。 

シャドーITとは？背景と放置リスク 

シャドーITとは、会社のIT管理部門が把握・許可していない端末やWebツール、クラウドサービスを、社員が独 自の判断で業務利用している状態のことです。業務効率化を優先した独断でのツール利用は、管理部門の目 が届かないところで深刻なセキュリティリスクを引き起こします。

業務現場で特に多く見られるシャドーITの代表例は、主に以下の3点です。 

• 私用端末（BYOD）での社内システム利用 
  個人所有のスマートフォンや私物PCを勝手に業務へ使用する行為 
• 未許可の生成AI利用（シャドーAI） 
  個人アカウントでChatGPTやCopilotなどの生成AIに業務データを入力・利用する行為 
• 未許可ストレージ・ファイル転送サービスの利用 
  会社が承認していない無料クラウドストレージ等で社内ファイルを送受信・保存する行為

シャドーITが急増した3つの背景 

シャドーITが急速に拡大した背景には、業務効率化を追求する現場のニーズに対し、テクノロジーの進化や働 き方の変化へ社内の管理体制が追いついていない実情があります。

現場が未許可ツールを利用してしまう主な原因は「利便性の優先」「SaaS・生成AIの普及」「テレワーク化」の3 点です。会社指定ツールの使いにくさや申請の遅さに不満を持つ現場は、業務を滞りなく進めるために独断で 外部ツールを選択しがちです。そこにアカウント作成のみで即座に使える生成AIやSaaSが急増したことで、利用のハードルが一気に下がりました。さらに在宅勤務などで物理的な管理チェックが届きにくくなった結果、個人 の判断で未許可サービスへアクセスする機会が増加しています。 

シャドーITの放置が招く危険性 

シャドーITの放置は単なる規約違反にとどまらず、企業の信用失墜や事業継続を脅かす重大なセキュリティ事故へ直結するため危険です。

最も懸念されるのが、セキュリティ対策の緩い無料ストレージや個人用生成AIへのデータ入力による「機密情報・個人情報の漏洩」です。さらに、安全性が確認されていないツールの利用や不審サイトからのダウンロード による「マルウェア感染」のリスクも跳ね上がります。個人アカウントのパスワード漏洩がサイバー攻撃の突破口 となり、連鎖的に社内システム全体へ不正アクセスが拡大する二次被害も無視できません。

ブラウザで防ぐシャドーIT対策の重要性 

シャドーITによるリスクを防ぎ安全なクラウド環境を構築するには、端末やネットワークの一律制限ではなく、現 代業務の「入口」であるWebブラウザを直接管理・制御することが極めて重要です。

SaaSや生成AIの普及に伴い、業務の起点そのものがブラウザへ集約されている現在、一律のアクセス遮断は かえって隠れた利用を助長しかねません。日常の作業環境であるブラウザ上で危険な操作のみをピンポイント 制御することこそが、現場の利便性と安全性を高度に両立させる鍵となります。 

国内外の利用実態から見るブラウザ管理の優先順位

企業が最優先で保護すべきブラウザを明確にするには、まず国内外における最新のブラウザシェア率から現場の利用実態を把握することが重要です。

表1：Webブラウザシェア率ランキング（日本/PC） 

出典：Desktop Browser Market Share Japan | Statcounter Global Stats

表2：Webブラウザシェア率ランキング（世界/PC） 

出典：Desktop Browser Market Share Worldwide | Statcounter Global Stats

統計データが示す通り、日本・世界ともにGoogle Chromeが6割から7割超という圧倒的なシェア率で第1位を 獲得しています。個人利用を含む市場全体のデータではあるものの、多くの企業においてもGoogle Chromeが 社内の標準ブラウザとして広く採用されていることが推測されます。

シェア率第1位であり利用者が極めて多いプラットフォームは、サイバー攻撃者にとても好都合な標的となりやすく、ブラウザを経由した情報漏洩や不正アクセスの危険性が常に潜んでいます。だからこそ、企業防衛におい てはChrome環境のセキュリティ強化が最優先課題となります。

業務でChromeを利用する際、従業員の作業効率を妨げることなくアクセスや機密データを強固に保護する最 適解が、「Chrome Enterprise Premium（CEP）」の導入です。

データ損失を防ぐ「Chrome Enterprise Premium（CEP）」の導入効果

Chrome Enterprise Premium（CEP）は、Webブラウザを介した情報漏洩を防ぐ高度なDLP（データ損失防止） 機能を備えた有料セキュリティソリューションです。「CEPライセンスが付与されたアカウントでログインしている Chromeブラウザ」の挙動を直接制御・保護できる仕組みとなっています。端末全体を一律に制限するのではなく、ブラウザ上のデータ流出リスクのみをスマートに防止できるため、現場の生産性を維持しながら強力なシャドーIT対策と運用管理の効率化を同時に実現します。

CEP導入によるシャドーIT対策効果 

CEPを導入することでシャドーIT対策が飛躍的に進化するのは、ブラウザ層で危険な操作のみを直接検知し、 業務効率とセキュリティ管理を無理なく両立できるためです。

導入により、未許可Webサイト（シャドーAI等）へのアクセスや機密データのコピペ・不審なファイルアップロード をリアルタイムで検知し、自動ブロックできます。過剰なネットワーク遮断とは異なり危険な操作のみを制御する ため、現場の利便性を損なう心配もありません。さらに、不審なアクセスログがGoogle 管理コンソールで一元 管理されるため、隠れたシャドーITのリスクを迅速に可視化・対処できます。

CEPの主なセキュリティ制御機能

CEPがシャドーITや意図しない情報漏洩を強力に防止できるのは、Webブラウザ上で発生するあらゆるデータ 操作に対して、きめ細かな制御ポリシーを適用できるためです。

CEPで利用できる主なセキュリティ制御機能は以下の通りです。 

• アップロード・ダウンロードの制限 
  許可されていない外部クラウドストレージへのファイルアップロードや、セキュリティリスクの高いWebサ イトからの不審なファイル、および個人情報・社内機密データ等のダウンロードを制御・ブロックします。 
• コンテンツの貼り付け（コピペ）制御 
  社外秘テキストや個人情報などの機密データを、未許可の外部Webフォームや生成AI（シャドーAI）の 入力プロンプトへ貼り付ける行為をリアルタイムで検知・禁止します。 
• 印刷の制限 
  機密データや特定のWebページが表示されている際の印刷操作（PDF出力を含む）を制御し、紙媒体やローカル保存経由での持ち出しを防ぎます。 
• URLフィルタリング 
  「生成AI」や「危険なサイト」などのカテゴリ別、あるいは個別URL単位で柔軟にアクセス許可・遮断ルールを設定できます。 

CEPのセキュリティ効果を100%引き出す前提条件 

CEPは「ライセンスが付与されたアカウントでログインしているChromeブラウザ」でしか機能しません。そのためCEP単体での運用では、ユーザーがゲストモードや私用アカウントを使用したり、未許可のブラウザや私物端 末（BYOD）からアクセスしたりする「抜け道」を完全に塞ぎきれません。

そのため、CEPのデータ保護機能を100%発揮させるには、無償のブラウザ管理機能「Chrome Enterprise Core（CEC）」およびアクセス制御機能「Context-Aware Access（CAA）」との連携が不可欠です。

ブラウザ利用を制限する「Chrome Enterprise Core（CEC）」 

Chrome Enterprise Core（CEC）は、管理下にあるChromeブラウザの挙動を直接制限し、セキュリティの土台 を構築する無償ツールです。ユーザーによるゲストモード利用や個人アカウントへの切り替えといった未許可の 操作を無効化します。

具体的には、以下の2つの制御によって利用環境を固定します。 

• ログインの強制 
  未ログイン状態（ゲストモード）でのブラウザ利用を完全に禁止し、常にアカウントでのログインを要求し
  ます。 
• ログインアカウントの制限 
  会社が許可した特定ドメイン（例：@sample.com）でのみログイン可能にし、個人アカウントでの業務 利用やデータ持ち出しを遮断します。 

未許可端末からのアクセスを断つ「Context-Aware Access（CAA）」

Context-Aware Access（CAA）は、ユーザーの接続環境や端末状態（コンテキスト）に応じて、アクセス経路と 権限を動的に制御する機能です。CEPが動作しない他社製ブラウザ（EdgeやFirefox等）や管理外端末から、 Google Workspace等のクラウドサービスへの直接ログインを阻止します。シャドーITやBYOD対策において、以下の効果を発揮します。

• 接続条件の厳格化 
  「会社が管理・許可した端末」かつ「管理対象のChromeブラウザ」からのアクセスのみを許可する動的なルールを設定できます。 
• 未許可端末の完全ブロック 
  シャドーITの典型例である「未許可のBYOD（私物PCやスマートフォン）」からのアクセスをクラウドの 入口で強固に遮断し、安全なアクセス境界を確立します。 

図1 Context-Aware Access（CAA）の保護イメージ 

このように、CECでブラウザの利用環境を固定し、CAAで未許可端末からの接続をブロックすることで、すべての業務アクセスを「CEPによる保護が有効な環境」へ確実に誘導できます。単体運用では防ぎきれない「抜け 道」を完全に塞ぎ、CEPのDLP機能を100%引き出すための強固な土台が完成します。

CEPを活用したシャドーIT（シャドーAI）対策の設定手順 

今回は、2026年7月末に開催されたGoogle Next Tokyo 26 Day 1 基調講演でも取り上げられていた「シャドーAI（未許可生成AI）の制 御」を例に、Google 管理コンソールでの具体的なDLP設定手順を解説します。

Google 公式アーカイブ 
Google Next Tokyo 26 Day 1 基調講演（動画）
※ 動画内（6:00 〜 6:30）で、シャドーAI について触れられています。 

URLフィルタリングで未許可の生成AIをブロック(Geminiのみ許可する手順)

Webブラウザのアクセスルールに「URLカテゴリ」と「例外URL許可」を組み合わせることで、社内での安全なAI 活用環境を短時間で構築できます。

今回は、社内で利用を認める生成AIを「Gemini」のみとし、その他の未許可サービスを自動遮断するDLPポリ シーの設定例です。 
具体的には、Google 管理コンソールにて以下のステップで設定を行います。 

1. 管理コンソールのメニューより[ルール]を選択します。 
2. [ルールを作成] > [データの保護]を選択します。 
3. [名前] に任意のルール名を入力し、[アプリ] > [Chrome] にて [アクセスしたURL] を選択します。
4. [操作]より[ブロック]を選択します。 
   ※ [メッセージをカスタマイズする]より、任意の警告メッセージを設定することも可能です。
5. [コンテンツの条件]よりルールが有効になる条件を設定します。

• スキャンするコンテンツの種類：URLカテゴリ 
  カテゴリを選択：生成AI 
  これにより生成AIに関するサイトをすべてブロックします。さらにNOT条件を用いてGeminiだけを例外 として設定します。 
• スキャンするコンテンツの種類：URL 
  スキャン対象：先頭が次と一致 
  照合するテキストを入力：https://gemini.google.com/ 

この設定により、Geminiは通常通り利用できますが、ChatGPTなど他の生成AIサイトを開こうとすると自動的 にブロックされるようになります。 
＜Geminiログイン時 ＞

＜Gemini以外の生成AIログイン時(ChatGPT等)＞

多層防御で安全なクラウド利用環境を構築

本記事では、シャドーITやシャドーAIがもたらすリスクから、CEC・CAA・CEPを組み合わせた「ブラウザの多層 防御」による解決策までを解説しました。

未許可ツールの一律禁止は、業務効率化を優先する現場が私用端末に避難し、かえって管理の届かない「隠 れた利用」を助長しがちです。しかし、危険な操作のみを制御するCEPを活用すれば、利便性と安全性を無理 なく両立できます。

私自身、これからのセキュリティ管理は業務を縛る「ブレーキ」ではなく、現場が安心して最新AIを活用するため の「ガードレール」であるべきだと感じています。過剰に制限するのではなく、安全な枠組みを用意して現場の挑 戦を支える姿勢こそが、これからのIT管理者に求められるはずです。