情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問16
問題文
業務への利用には、会社の情報システム部門の許可が本来は必要であるのに、その許可を得ずに勝手に利用されるデバイスやクラウドサービス、ソフトウェアを指す用語はどれか。
選択肢
ア：シャドーIT（正解）
イ：ソーシャルエンジニアリング
ウ：ダークネット
エ：バックドア
🔒 解説は解答すると表示されます
シャドーIT【情報セキュリティマネジメント解説】
正解の理由
設問で問われているのは、会社の情報システム部門（社内でITを管理・運用する部署）の許可を得ずに、勝手に使われるデバイスやクラウドサービス、ソフトウェアのことです。これはシャドーIT（Shadow IT：組織の承認を得ずに使われるIT資産）を指します。したがって設問の正答は ア（シャドーIT）です。
シャドーITは、業務効率化や利便性のために現場が自己判断で導入することが多い点が特徴です。しかし、アクセス制御やバックアップ、ログ取得、セキュリティ対策がされていないため、機密情報漏えい、コンプライアンス違反、サポート不能といった重大なリスクを生みます。設問文の「本来は許可が必要だが許可を得ずに利用される」という条件と完全に合致します。
解法ステップ
- 問題文のキーワードを探す：「許可が本来必要」「勝手に利用される」「デバイスやクラウドサービス、ソフトウェア」。
- 各選択肢の意味を頭の中で簡単に確認する。意味が問題文と一致するか判断する。
- 一致するのは「許可を得ずに使われるIT資産」を示す選択肢だけ。これがシャドーITであると結論づける。
試験では、まず設問の「誰が」「何を」「どんな状況で」を押さえると速く解けます。今回なら「社内の許可を得ていないIT利用」が決め手です。
選択肢別の誤答解説
-
ア シャドーIT
組織の承認を得ずに導入・利用されるデバイスやクラウド、アプリの総称。設問の説明に合致します。 -
イ ソーシャルエンジニアリング（social engineering：人を心理的に操作して情報を引き出す手法）
人を騙してパスワードなどを聞き出す攻撃手法です。人の操作や詐術を表す言葉で、許可の有無を問う用語ではありません。 -
ウ ダークネット（darknet：一般的な検索エンジンで見つからない匿名化されたネットワークや領域）
匿名性の高いネットワークやインターネットの一部を指します。利用許可の有無を意味する言葉ではありません。 -
エ バックドア（backdoor：正常な認証手順を迂回してアクセスできる仕組みや侵入用の隠し入口）
システムに仕込まれる不正または管理用の裏口です。許可なく利用されるIT資産の総称ではありません。
よくある誤解
-
「BYOD（Bring Your Own Device：個人所有デバイスの業務利用）＝シャドーIT」と混同する
BYODは方針として許可されている場合があります。許可されていればシャドーITではありません。許可なく勝手に使うのがシャドーITです。 -
「シャドーITは悪意ある行為だけ」だと思い込む
多くは利便性や業務効率化のために現場が善意で始めることが多く、悪意とは限りません。ただしリスクは高いです。 -
「小さなクラウドサービスならリスクが小さい」と過小評価する
小さなサービスでも機密データが保存されれば重大な情報漏えいにつながります。
補足コラム
現場が勝手に使うツールは、たとえば個人のGoogleドライブやDropboxに業務データを保存する、チームで勝手に作ったSlackワークスペース、許可のない業務用アプリ導入などです。現場は「すぐ使えて便利」だから導入しますが、管理側は「誰がどのデータに何の権限でアクセスしているか」が分からなくなります。
対策としては次のような段階的対応が有効です。
- 発見（シャドーITの検出）：ネットワークログ、クラウドのアクセスログ、アンケートで洗い出す。
- 承認フロー：利用申請と審査の仕組みを用意する。簡単な申請でOKにすると現場の協力を得やすいです。
- 代替提供：現場が欲しい機能を把握し、会社が安全に使える代替サービスを提供する。
- 技術的対策：CASB（Cloud Access Security Broker：クラウド利用を可視化・制御するツール）やDLP（Data Loss Prevention：データ漏えい防止）で制御する。
職場では「申請して承認されたツールはITが管理・バックアップ・ログ監視を行う」といった運用が現実的です。
FAQ
Q: シャドーITを見つけたらまず何をすべきですか？
A: まず利用実態（誰が何を使っているか）を把握します。その後、業務上必要か、機密データが含まれるかを評価し、安全に使えるかを判断します。直ちに使用停止すると業務に支障が出ることがあるため、影響を考慮して対応します。
A: まず利用実態（誰が何を使っているか）を把握します。その後、業務上必要か、機密データが含まれるかを評価し、安全に使えるかを判断します。直ちに使用停止すると業務に支障が出ることがあるため、影響を考慮して対応します。
Q: 個人のスマホで仕事のメールを見るのはシャドーITですか？
A: 会社が明示的に許可していなければシャドーITの可能性があります。許可がある場合はBYODポリシーに従う形で管理されます。
A: 会社が明示的に許可していなければシャドーITの可能性があります。許可がある場合はBYODポリシーに従う形で管理されます。
Q: シャドーITはどうやって防止しますか？
A: 教育と申請の簡素化、業務に即した安全な代替サービスの提供、技術的な可視化（ログ監視やCASB）を組み合わせると効果的です。
A: 教育と申請の簡素化、業務に即した安全な代替サービスの提供、技術的な可視化（ログ監視やCASB）を組み合わせると効果的です。
Q: シャドーITの発見はIT部門だけの仕事ですか？
A: いいえ。総務や人事、各部署の管理者が協力して情報収集・教育・運用ルール作りを行うことが重要です。
A: いいえ。総務や人事、各部署の管理者が協力して情報収集・教育・運用ルール作りを行うことが重要です。
関連キーワード: シャドーIT、BYOD（Bring Your Own Device：個人端末利用）、クラウドサービス、CASB（Cloud Access Security Broker）、データ漏えい、DLP（Data Loss Prevention）
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！