情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 令和元年度秋期 午前 問10: シャドーIT に該当するものはどれか。

正解

イ. IT 部門の許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス

正答率 71.8%（39人中 28人が正解）

問題の解説

シャドーITとは、企業のIT部門が把握・許可していないにもかかわらず、従業員や部門が業務に利用しているデバイスやクラウドサービスなどを指す。IT部門の許可を得ずに業務利用しているデバイスやクラウドサービスとした「イ」がこの定義に合致するため正解となる。

選択肢ごとの解説

• アITで環境負荷を低減する取組はグリーンITの説明であり、シャドーITとは無関係である。
• イIT部門の許可なく従業員や部門が業務利用するデバイスやクラウドサービスはシャドーITの定義そのものなので正しい。
• ウ画面やキー入力を物陰から盗み見る行為はショルダーハッキングであり、シャドーITではない。
• エ侵入準備として対象の弱点や組織・従業員の情報を収集する行為はフットプリンティング（事前調査）であり、シャドーITではない。