情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問16
問題文
シャドーITに該当するものはどれか。
選択肢
ア：IT製品やITを活用して地球環境への負荷を低減する取組み
イ：IT部門の公式な許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービス（正解）
ウ：攻撃対象者のディスプレイやキータイプを物陰から盗み見て、情報を盗み出すこと
エ：ネットワーク上のコンピュータに侵入する準備として、攻撃対象の弱点を探るために個人や組織などの情報を収集すること
🔒 解説は解答すると表示されます
シャドーIT【情報セキュリティマネジメント解説】
正解の理由
シャドーITとは、IT部門の承認や管理を経ずに従業員や部門が業務で使う機器やクラウドサービスのことです。したがって、選択肢のうち業務で利用されているが公式の許可を得ていないデバイスやクラウドを指すものが該当します。問題文の選択肢では イ がこの定義に合致します。
（補足）クラウドサービスは「他社のサーバ上で動くオンラインのサービス」です。個人のストレージや無料のSaaSも含まれます。
（補足）クラウドサービスは「他社のサーバ上で動くオンラインのサービス」です。個人のストレージや無料のSaaSも含まれます。
解法ステップ
- 用語の意味を短く確認する：「シャドーIT = 公式に管理されていないIT資産」。
- 各選択肢が「社内で承認なく使われていること」を示すかを照合する。
- 「攻撃手法」や「環境対策」を示す選択肢は除外する。
- 最も定義に合う選択肢（承認を得ず業務で使われるIT資産）を選ぶ。
短いチェックリスト例：
- その行為は内部の承認を必要としているか？
- 行為は防御や攻撃に関するものか？
- 「個人が業務で勝手に使っている」状況か？
選択肢別の誤答解説
- ア: IT製品やITを活用して地球環境への負荷を低減する取組み
- これは「グリーンIT」や「エコIT」と呼ばれる分野の説明です。組織での許可の有無を問う話ではないためシャドーITではありません。
- イ: IT部門の公式な許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービス
- これがシャドーITの典型的定義です。例えば、承認を得ずに個人のGoogle Driveや外部のチャットツールを業務で使う場合が該当します。
- ウ: 攻撃対象者のディスプレイやキータイプを物陰から盗み見て、情報を盗み出すこと
- これは「ショルダサーフィング（shoulder surfing：肩越し覗き）」と呼ばれる攻撃手法です。人的な盗み見でありシャドーITではありません。
- エ: ネットワーク上のコンピュータに侵入する準備として、攻撃対象の弱点を探るために個人や組織などの情報を収集すること
- これは攻撃の準備段階で行う「リコン（reconnaissance）」や「調査・情報収集」の説明で、攻撃側の行為です。シャドーITとは別の概念です。
よくある誤解
- 個人のスマホで会社メールをチェックしている＝必ずシャドーIT？
- 個人端末の業務利用自体は「BYOD（Bring Your Own Device：個人端末持ち込み）」として許可され、管理ルールがある場合はシャドーITではありません。許可と管理が鍵です。
- 小さな無料サービスは影響が小さい？
- 小さなツールでも機密情報が流出するリスクやコンプライアンス違反になります。規模で安心はできません。
補足コラム
まず守りたいもの（リスクの対象）は「機密情報」「顧客データ」「業務文書」などです。シャドーITが問題となる理由は、これらのデータが組織の管理外に置かれ、バックアップ・暗号化・アクセス制御・ログ記録が行われない点にあります。
現場での対応例（非IT担当者向け・実務イメージ）:
- 見つける：簡単なアンケートでどのサービスを使っているかを聞く。ネットワークログから未知のSaaS接続を洗い出す。
- 管理する：許可が必要なサービス一覧を作り、利用申請フローを簡単にする。
- 技術的対策：CASB（Cloud Access Security Broker：クラウド利用を監視・制御する仕組み）やMDM（Mobile Device Management：端末管理）を導入して可視化・制御をする。
- 教育：なぜ承認が必要か（情報漏えい・法令違反のリスク）を実務事例で説明する。
短期でできる優先アクション：まず「見える化」→次に「リスク評価」→最後に「許可／制御の仕組み整備」。
FAQ
Q1: シャドーITが見つかったら最初に何をすればよいですか？
A1: まず利用目的と扱われる情報の種類を確認します。機密情報が含まれる場合は一時的に利用停止を依頼し、情報漏えいの有無を確認します。その上で承認手続きや追加の管理策を検討します。
A1: まず利用目的と扱われる情報の種類を確認します。機密情報が含まれる場合は一時的に利用停止を依頼し、情報漏えいの有無を確認します。その上で承認手続きや追加の管理策を検討します。
Q2: 個人のGoogleアカウントで資料を共有している場合は危険ですか？
A2: 共有範囲や保存先のコントロールがないと危険です。アクセスログや削除が管理できないため、機密データは企業管理下のストレージを使うようルールを作ります。
A2: 共有範囲や保存先のコントロールがないと危険です。アクセスログや削除が管理できないため、機密データは企業管理下のストレージを使うようルールを作ります。
Q3: BYODとシャドーITは同じですか？
A3: 同じではありません。BYODは端末の持ち込みを許可する方針であり、管理ルールがあるかがポイントです。シャドーITは「管理・承認されていない」使用を指します。
A3: 同じではありません。BYODは端末の持ち込みを許可する方針であり、管理ルールがあるかがポイントです。シャドーITは「管理・承認されていない」使用を指します。
関連キーワード: シャドーIT、BYOD、クラウドサービス、資産管理、可視化、CASB、MDM、情報漏えい、ショルダサーフィング、リコン、ガバナンス
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！