シャドーIT｜情報セキュリティマネジメント 令和元年 秋期午前試験 問10
出典：令和元年秋期 午前 問10
分野：セキュリティ ／ 情報セキュリティ
シャドーITに該当するものはどれか。
- ア：IT製品やITを活用して地球環境への負荷を低減する取組
- イ：IT部門の許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス
- ウ：攻撃対象者のディスプレイやキータイプを物陰から盗み見て，情報を盗み出す行為
- エ：ネットワーク上のコンピュータに侵入する準備として，侵入対象の弱点を探るために組織や所属する従業員などの情報を収集すること
TSUNAGARU-ADVICE
まず押さえたいこと
シャドーITとは、情報システム部門などの正式な許可や管理を受けずに、従業員や部門が業務で利用しているIT機器やクラウドサービスのことです。個人契約のオンラインストレージや未承認の生成AIサービスなどを業務データの処理に使うケースも該当します。
迷ったときの判断軸
ポイントは、ITそのものの種類ではなく組織が把握・承認・管理しているかです。環境負荷を減らす取組はグリーンIT、画面などの盗み見はショルダーハッキング、攻撃前の情報収集は偵察に関する行為なので区別しましょう。
科目Bにつなげるために
科目Bでは、従業員が無断でクラウドサービスへ機密情報をアップロードし、情報漏えいにつながる事例などが考えられます。利用サービスの把握、利用ルールの整備、承認済みサービスへの限定など、利便性だけでなく組織として管理可能な状態にすることが重要です。
シャドーITとは、企業や組織のIT部門が把握・許可していない状態で、従業員や部門が業務に利用しているIT機器やクラウドサービスのことです。例えば、会社の承認を得ずに個人向けクラウドストレージへ業務ファイルを保存するケースなどが該当します。
本問では、「IT部門の許可を得ずに」「従業員又は部門が業務に利用している」という部分が判断のポイントです。この特徴に当てはまるため、イが適切です。
❌他選択肢が誤りの理由ア：IT製品やITを活用して地球環境への負荷を低減する取組
⇒グリーンITに関する説明です。ITの活用によって消費電力や資源使用量などを削減し、環境負荷を低減する取組であり、シャドーITではありません。
ウ：攻撃対象者のディスプレイやキータイプを物陰から盗み見て，情報を盗み出す行為
⇒ショルダーハッキングに関する説明です。画面やキーボード操作を盗み見て認証情報などを取得する手口であり、シャドーITとは異なります。
エ：ネットワーク上のコンピュータに侵入する準備として，侵入対象の弱点を探るために組織や所属する従業員などの情報を収集すること
⇒攻撃前に対象組織やシステムについて情報収集する偵察に関する説明です。組織が未承認のITを業務利用するシャドーITとは異なります。