問65
頻出度★★★
シャドーITの例として,適切なものはどれか。
令和3年度 ITパスポート試験 問65
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 65
不正解ア
会社のルールに従って重要データを遠隔地にバックアップする行為で、組織が定めた手順に沿った正規の運用（災害対策・BCP）である。IT部門の承認外という要素がないため、シャドーITではない。
不正解イ
他人がパスワードを入力する様子をのぞき見て（ショルダーハッキング）入手した資格情報で不正ログインする行為であり、これは不正アクセスやソーシャルエンジニアリングの例。承認外のIT機器・サービスを利用するシャドーITとは種類が異なる。
不正解ウ
離席時に画面をのぞき見されないようスクリーンロックをかける行為で、これは推奨される正しいセキュリティ対策（クリアスクリーン）である。組織の管理外でITを勝手に使う行為ではないため、シャドーITには当たらない。
- エ
正解 シャドーITとは、企業のIT部門が把握・承認していないのに、従業員が業務のために独自に導入・利用するIT機器やクラウドサービスのことを指す。エは、会社が許可していないオンラインストレージサービスを、担当者の判断で業務ファイルの送付に使っており、まさに『組織の管理外で勝手に使われるIT』に当たる。承認外サービスの利用は情報漏えいなどのリスクを組織の管理下に置けなくなるため問題視され、その典型例としてエが正しい。
ここがポイント
- シャドーITの定義：企業のIT部門や管理者の承認・関与なしに、従業員が業務で独自に導入・利用するIT機器やクラウドサービス（例：会社未承認のオンラインストレージや個人端末の業務利用）。管理外のため情報漏えい等のリスク統制が及ばない点が問題となる。
- 類似用語との区別：不正アクセスやショルダーハッキング（イ）、正規の運用（ア）、推奨されるセキュリティ対策（ウ）とは別概念であり、『承認外のITを利用しているか』が判定の鍵。
用語