問65
頻出度★★★
シャドーITの例として,適切なものはどれか。
令和3年度 ITパスポート試験 問65
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 65
错误ア
这是遵照公司规定、为应对灾害而把重要数据备份到异地的行为，属于按照组织既定流程进行的正规运行（灾害应对/业务连续性计划 BCP）。其中不存在「未经IT部门批准」这一要素，因此不属于影子IT。
错误イ
这是偷看他人输入密码（肩部窥视，即肩窥）而获取凭据，再用它非法登录的行为，属于未授权访问或社会工程学的例子。它与「使用未经批准的IT设备或服务」的影子IT种类不同。
错误ウ
这是为防止离座时屏幕被人窥视而进行屏幕锁定的行为，属于值得推荐的正确安全措施（清屏策略）。它并不是在组织管理范围之外擅自使用IT，因此不属于影子IT。
- エ
正解 影子IT（Shadow IT）指的是：企业的IT部门并未掌握或批准，员工却为了工作而自行引入、使用的IT设备或云服务。选项エ中，员工凭自己的判断，使用了公司未批准的在线存储服务来发送业务文件，这正好属于「在组织管理范围之外被擅自使用的IT」。使用未经批准的服务，会使信息泄露等风险脱离组织的管控，因而被视为问题，其典型例子就是エ，所以エ正确。
ここがポイント
- 影子IT的定义：未经企业IT部门或管理者批准、参与，员工为了工作而自行引入、使用的IT设备或云服务（例如：公司未批准的在线存储、把个人终端用于业务）。由于处于管理范围之外，信息泄露等风险无法纳入组织的管控，这一点会成为问题。
- 与相似术语的区分：它与未授权访问和肩窥（选项イ）、正规运行（选项ア）、值得推荐的安全措施（选项ウ）是不同的概念，判定的关键在于「是否在使用未经批准的IT」。
用語