情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度秋期 午前 問16: シャドーIT に該当するものはどれか。

問題本文

シャドーIT に該当するものはどれか。

選択肢

• ア.IT 製品や IT を活用して地球環境への負荷を低減する取組み
• イ.IT 部門の公式な許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス
• ウ.攻撃対象者のディスプレイやキータイプを物陰から盗み見て，情報を盗み出すこと
• エ.ネットワーク上のコンピュータに侵入する準備として，攻撃対象の弱点を探るために個人や組織などの情報を収集すること

正解

イ. IT 部門の公式な許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス

解説

シャドーITとは、企業のIT部門が把握・承認していないにもかかわらず、従業員や部門が業務で勝手に利用している機器やソフトウェア、クラウドサービスを指す。管理外であるため情報漏えいなどのリスク源となる。IT部門の公式な許可を得ずに業務利用しているデバイスやクラウドサービスとしたイが正解である。

選択肢ごとの解説

• ア.誤り。ITを活用して環境負荷を低減する取組みはグリーンITの説明であり、シャドーITではない。
• イ.正しい。IT部門の承認を得ずに業務利用される機器やクラウドサービスがシャドーITである。
• ウ.誤り。画面やキー入力を物陰から盗み見るのはショルダーハッキングの説明である。
• エ.誤り。侵入準備として攻撃対象の弱点や情報を収集するのはフットプリンティング（偵察）の説明である。