情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問10

シャドーIT【情報セキュリティマネジメント解説】

正解の理由

• クラウドサービス：インターネット経由で提供されるソフトや記憶領域。例：Google Drive、Dropbox、Slack。
• BYOD（Bring Your Own Device：個人所有端末の業務利用）：社員のスマホやノートPCを業務に使うこと。

解法ステップ

1. 問題が問う概念を一言で把握する：「社内で管理されていないITの使用」かどうかを考える。
2. 各選択肢の意味を短く確認する。
   • ア：環境配慮の取り組み → 用語は「グリーンIT」などでシャドーITではない。
   • イ：許可を得ずに使われるデバイスやクラウド → シャドーITの定義に一致。
   • ウ：ディスプレイやキーの覗き見 → 「ショルダーハック／覗き見」。行為の種類は異なる。
   • エ：攻撃のための情報収集 → リコン（偵察）やソーシャルエンジニアリング準備。
3. 「管理・承認の有無」が決め手なので、許可を得ていない点を示す選択肢を正答とする。

選択肢別の誤答解説

• ア: IT製品やITを活用して地球環境への負荷を低減する取組
  → これは「グリーンIT」や「サステナブルIT」に関する話。企業の管理外で使うこととは無関係です。
• イ: IT部門の許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービス
  → シャドーITの定義そのものです。正答。
• ウ: 攻撃対象者のディスプレイやキータイプを物陰から盗み見て、情報を盗み出す行為
  → いわゆる「肩越しの覗き見（ショルダーハック）」で、人的な覗きによる情報窃盗。シャドーITとは別の脅威です。
• エ: ネットワーク上のコンピュータに侵入する準備として、侵入対象の弱点を探るために組織や所属する従業員の情報を収集すること
  → 侵入前の「偵察（リコン）」や情報収集の行為。攻撃者側の活動で、シャドーITの意味とは異なります。

よくある誤解

• シャドーITは「単に個人の便利さ」だけの問題と考える誤解
  → 利便性は確かに理由の一つですが、許可なしだと情報漏えい、コンプライアンス違反、可用性や保守の問題が発生します。
• BYOD＝すべてシャドーITという誤解
  → BYODは個人機器の業務利用そのもので、企業がポリシーや管理ツールで許可・管理していればシャドーITには該当しません。

補足コラム

• 従業員がSlackや個人のクラウドを使いたいと申請した場合、ITはリスク評価を行い、承認するか、企業で管理された代替サービス（企業版のSlackや承認済みストレージ）を提供します。
  実務での対策（優先度順の例）：

1. 資産の可視化：ネットワークログやクラウドアクセスの監視で未承認サービスを検出。
2. ポリシー整備：利用ガイドラインと申請手順を明確にする。
3. ユーザビリティ確保：使いやすい承認済みサービスを用意し、従業員の選択肢を減らす。
4. 技術的対策：CASB（Cloud Access Security Broker：クラウド利用を可視化・制御する装置）やDLP（Data Loss Prevention：データ流出防止）で制御。
5. 教育とコミュニケーション：なぜ制限が必要かを具体例で説明する（業務データの漏えいリスクなど）。

FAQ