生成AI禁止が生む“シャドーIT”とホワイトリストの限界──いま情シスが備えるべき構造的防御とは

生成AI禁止とセキュリティ統制のジレンマ

生成AI（例：ChatGPT）の業務利用を巡り、「全面禁止」は合理性とリスク管理の観点から理解可能な判断です。実際、JIPDECおよびITRが2025年1月に実施した最新の調査では、国内企業の14.2%が生成AIの利用を禁止していることが明らかになっています（出典：JIPDEC「企業IT利活用動向調査2025」）。その背景には「機密情報の流出」「誤った業務判断」など、無視できない合理的懸念があります。

一方で、同調査によれば生成AIの利用率は45.0%に達しており、禁止措置がDX推進のスピードを後退させ、他社に比べて業務効率が低下する懸念も現実的です。このように、「セキュリティの確保」と「ビジネスの成長」がせめぎ合う中で、情報システム部門はどう舵を切るべきかという問いに直面しています。

禁止措置の裏側に潜む“制御不能領域” – シャドーITの罠

禁止措置によって現場が業務に必要なツールを正しく使えず、私物スマートフォンや自宅PCを使った“非管理アクセス”が発生することがあります。このような行為は、いわゆるシャドーITと呼ばれ、企業のセキュリティ統制範囲の外で利用が地道に広がる構造を生みます。

実際にAssured社が2024年1月に実施した企業向け調査では、従業員数1,000名以上の企業のうち65.6％がシャドーIT対策を未実施と回答し、1社あたり平均207のクラウドサービスが“情シスの認知外”で利用されている可能性が報告されています（出典：Assured社）。

セキュリティを強化するための「禁止」という壁が、かえって管理の及ばない「抜け穴」を生んでしまう。この構造的逆説こそがシャドーIT問題の本質であり、意図しない情報漏洩やマルウェア感染の温床となるのです。

「ホワイトリスト」神話の終焉──“表札”だけを信じる設計の限界

従来型のURLフィルタリング製品では、アクセス先のドメインやカテゴリ情報による「事前評価モデル」が一般的です。このモデルは、外部との通信が限られていた時代には有効でした。しかし、現在のWebは「静的ページの集合」ではなく、アクセス先の1ページであっても、背後では数十〜数百の外部リソースが動的に読み込まれます。この構造変化により、「信頼された表札（ドメイン名）」が「信頼できない中身（スクリプトや挙動）」を隠すことが可能になってしまいました。

このように、“信頼された出入口”が最も危険になり得るのが現代のWebであり、それこそが「ホワイトリスト信仰」の最大の盲点です。

SWGの振る舞い検知との決定的違い──なぜHTMLスマグリングはすり抜けるのか？

「信頼」を悪用する攻撃に対し、「振る舞いを検知すれば良い」と考えるのは自然な流れです。実際に、多くのSWG製品も振る舞い検知機能を搭載しています。しかし、ここで大きな壁となるのが、HTMLスマグリングに代表される、ブラウザの機能を悪用した高度な攻撃手法です。

HTMLスマグリング攻撃では、攻撃者はマルウェア本体を直接ネットワークで送信しません。無害に見えるHTMLやJavaScriptコードの中に、暗号化・断片化されたマルウェアの“部品”を埋め込んで送り込みます。そして、ユーザーのブラウザ上でJavaScriptを使って、その“部品”を組み立て、悪意のあるファイルとして“生成”させるのです。

この手口が巧妙なのは、ネットワーク経路上を流れるのはあくまで「コードの断片」であり、悪意のあるファイルそのものではないためです。通信を監視するSWGは、これを脅威として検知することが極めて困難です。ファイルが“生まれる”のは、SWGを通過した先の、ユーザーのPCのブラウザ内部だからです。

「表札」ではなく「住人」を見る──ConcealBrowseの設計思想

次世代セキュアブラウザ「ConcealBrowse」は、まさにこの「ブラウザ内部での実行時検証」という新しいアプローチを具現化するソリューションです。その防御思想は、「ドメイン名による事前許可」や「ネットワーク上の通信監視」ではありません。“その瞬間にブラウザ内部で実行されようとしているリソースやコードの挙動をリアルタイム解析”し、異常があれば即座に隔離する「ゼロトラスト・ブラウジング」モデルです。

このアプローチでは、たとえ信頼されたドメインであっても、その裏で不審なJavaScriptが読み込まれたり、不正なリソース呼び出しが発生したりすれば、人間が目視する前にそのページを無害化します。CDN経由であっても、挙動上異常と判定されれば即時に通信を遮断・無害化します。重要なのは、“経路”ではなく“中身”を見て判断する点です。

表：従来型フィルタとConcealBrowseの防御モデル比較

観点	事前評価モデル（従来型フィルタ）	実行時解析モデル（ConcealBrowse）
判断材料	ドメイン名／カテゴリ	実際の通信内容／挙動
タイミング	アクセス前に許可・遮断	アクセス中にリアルタイム解析・隔離
水飲み場対策	×（改ざんを検知できない）	○（挙動異常で隔離）
マルバタイジング対策	×（広告配信は許可されがち）	○（外部呼び出しの挙動を検査）
許可までの運用負荷	高（都度申請・評価が必要）	低（基本隔離で運用が簡素化）

情シスは“火消し役”から“制度設計者”へ──攻めのITを支える静かな革命

従来、情報システム部門は“リスクの番人”としての役割を担ってきました。しかし、ゼロトラストの時代において、情シスは「守る部門」から「使わせながら守る部門」へと脱皮を迫られています。

この変化は、単なる業務効率の向上ではありません。情シスが“統制の遅延装置”ではなく、“制御可能性を設計する中枢”として、再定義されるプロセスです。「禁止」と「許可」の境界を従来の固定ルールから、動的・挙動ベースの判断に委ねることで、情シスは“ルールの執行者”ではなく“秩序の設計者”へと進化します。

「ゼロトラスト時代」の現実解として──ConcealBrowse導入の本質的意義

NIST SP 800-207に代表されるゼロトラスト・アーキテクチャの本質は、「信頼しないこと」ではなく、「暗黙の信頼を排除し、すべてのアクセス要求をその都度検証する」という思想にあります。これは、従来の境界型防御が「一度中に入れば安全」としていた性善説的な前提を覆す、根本的なパラダイムシフトです。

この文脈において、ConcealBrowseはWebブラウザという特定の領域にゼロトラストの原則を適用する、重要なコンポーネントと位置づけられます。ZTNA（Zero Trust Network Access）が特定アプリケーションへのアクセスを検証・制御し、EDRがエンドポイント内部の挙動を監視するように、ConcealBrowseは「すべてのWebサイト、すべてのWebコンテンツは信頼できない」という前提に立ち、アクセスごとにその挙動を実行時検証する役割を担います。

ホワイトリストが「想定された業務」の安全を守る静的な壁であるならば、ConcealBrowseは、「想定されないニーズ」が発生した際のリスクを動的に制御するセーフティネットです。この2つが揃ったとき、安全の定義は「すべて禁止すること」から「すべて制御できること」へと変わります。

セキュリティ部門は、もはや“ビジネスの制動装置”ではありません。ConcealBrowseは、セキュリティ運用を“禁止か許可か”の二択から脱却させる、新しい「制御のフレームワーク」として機能します。

※記載された社名、製品名、ロゴマークは各社の商標または商標登録です。