情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度秋期 午前 問16: シャドーIT に該当するものはどれか。

正解

イ. IT 部門の公式な許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス

正答率 71.0%（31人中 22人が正解）

問題の解説

シャドーITとは、企業のIT部門が把握・承認していないにもかかわらず、従業員や部門が業務で勝手に利用している機器やソフトウェア、クラウドサービスを指す。管理外であるため情報漏えいなどのリスク源となる。IT部門の公式な許可を得ずに業務利用しているデバイスやクラウドサービスとしたイが正解である。

選択肢ごとの解説

• ア誤り。ITを活用して環境負荷を低減する取組みはグリーンITの説明であり、シャドーITではない。
• イ正しい。IT部門の承認を得ずに業務利用される機器やクラウドサービスがシャドーITである。
• ウ誤り。画面やキー入力を物陰から盗み見るのはショルダーハッキングの説明である。
• エ誤り。侵入準備として攻撃対象の弱点や情報を収集するのはフットプリンティング（偵察）の説明である。