情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 令和元年度秋期 午前 問10: シャドーIT に該当するものはどれか。

問題本文

シャドーIT に該当するものはどれか。

選択肢

• ア.IT 製品や IT を活用して地球環境への負荷を低減する取組
• イ.IT 部門の許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス
• ウ.攻撃対象者のディスプレイやキータイプを物陰から盗み見て，情報を盗み出す行為
• エ.ネットワーク上のコンピュータに侵入する準備として，侵入対象の弱点を探るために組織や所属する従業員の情報を収集すること

正解

イ. IT 部門の許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス

解説

シャドーITとは、企業のIT部門が把握・許可していないにもかかわらず、従業員や部門が業務に利用しているデバイスやクラウドサービスなどを指す。IT部門の許可を得ずに業務利用しているデバイスやクラウドサービスとした「イ」がこの定義に合致するため正解となる。

選択肢ごとの解説

• ア.ITで環境負荷を低減する取組はグリーンITの説明であり、シャドーITとは無関係である。
• イ.IT部門の許可なく従業員や部門が業務利用するデバイスやクラウドサービスはシャドーITの定義そのものなので正しい。
• ウ.画面やキー入力を物陰から盗み見る行為はショルダーハッキングであり、シャドーITではない。
• エ.侵入準備として対象の弱点や組織・従業員の情報を収集する行為はフットプリンティング（事前調査）であり、シャドーITではない。