ITパスポート 2021年 問65
問題文
シャドーITの例として、適切なものはどれか。
選択肢
ア：会社のルールに従い、災害時に備えて情報システムの重要なデータを遠隔地にバックアップした。
イ：他の社員がパスワードを入力しているところをのぞき見て入手したパスワードを使って、情報システムにログインした。
ウ：他の社員にPCの画面をのぞかれないように、離席する際にスクリーンロックを行った。
エ：データ量が多く電子メールで送れない業務で使うファイルを、会社が許可していないオンラインストレージサービスを利用して取引先に送付した。（正解）
🔒 解説は解答すると表示されます
シャドーITの例として、適切なものはどれか。【ITパスポート 解説】
正解の理由
シャドーITとは、会社の許可や管理を受けないまま、業務に使うITサービスや機器を従業員が勝手に利用することです。たとえば、個人のクラウドサービスに業務データを置く行為が典型例です。選択肢のうち、会社が許可していないオンラインストレージサービスを業務で使って取引先にファイルを送った行為が該当します。つまり、エが正解です。
ポイントを噛み砕くと：
- 「会社が許可していない」「業務で使っている」「外部のサービスを利用している」この3点がそろっているため、シャドーITになります。
※用語補足：SaaS（Software as a Service：サービスとして提供されるソフトウェア）は、ウェブ経由で提供されるアプリやストレージなどを指します。許可なく業務で使うとシャドーITになります。
解法ステップ
- 問題文で定義される用語を確認する（今回は「シャドーIT」＝無許可のIT利用）。
- 各選択肢が「会社の許可があるか」「業務に関連するか」「外部サービスや機器を使っているか」をチェックする。
- 3条件すべてに当てはまる選択肢を正解にする。
この問題では、エが3条件に当てはまります。他の選択肢は許可された行為、またはシャドーITではないセキュリティ違反です。
選択肢別の誤答解説
-
ア: 会社のルールに従い、遠隔地にバックアップした。
- 会社のルールに沿っているため、管理下での正しい運用です。許可・監査・復旧手順があればシャドーITではありません。
-
イ: 他の社員がパスワードを入力しているところをのぞき見て入手したパスワードでログインした。
- これは不正アクセスや内部不正の行為です。シャドーIT（無許可のITサービス利用）とは種類が異なり、刑事・懲戒の対象になり得ます。
-
ウ: 離席時にスクリーンロックを行った。
- これはセキュリティ対策の良い例です。会社のルールに沿った行為で、シャドーITではありません。
-
エ: 会社が許可していないオンラインストレージサービスを利用してファイルを送付した。
- 会社の管理外の外部サービスを業務で使っているため、まさにシャドーITです。データ管理や法令遵守（コンプライアンス）などの問題を生みます。
よくある誤解
-
「社外のサービスを使えば全部シャドーIT」ではない
- 会社が明確に許可しているサービス（例：会社支給のクラウドや申請済みのSaaS）はシャドーITではありません。ポイントは「許可」と「管理」です。
-
「シャドーITは必ず悪意がある」と思い込みがち
- 多くは利便性や時間短縮のために従業員が自分で判断して使う場合です。悪意がなくてもリスクは同じです（情報漏えいなど）。
-
「個人のスマホやUSBを使う＝即シャドーIT」ではない
- 会社のルールで許可され、管理（例：MDM：Mobile Device Management、端末管理）がされていれば問題ないこともあります。無許可が問題です。
補足コラム
シャドーITが問題になる理由（簡単に）
- データ漏えい：外部サービスのセキュリティ基準が不明なため、情報が第三者に見られるリスクが増えます。
- 管理不能：バックアップやログ監査が行えず、障害時の復旧や調査ができないことがあります。
- 法令違反・契約違反：顧客情報や個人情報が国外サーバに保存されると、法律や取引先との契約に抵触することがあります。
企業対策の例（用語説明つき）
- BYODポリシー（Bring Your Own Device：私物端末持ち込みルール）を整備する。
- MDM（Mobile Device Management：企業が端末を管理する仕組み）を導入する。
- CASB（Cloud Access Security Broker：クラウド利用を制御・監視するツール）で未承認サービスの利用を検出する。
- DLP（Data Loss Prevention：データの持ち出しを防ぐ技術）で機密データの外部送信を制限する。
従業員が守ること
- まずはIT部門に相談する。
- 業務で新しいサービスを使う場合は許可申請を出す。
- 規則が分からなければ確認する習慣をつける。
FAQ
Q1: 仕事で大きなファイルをすぐ送らないといけないときはどうする？
A1: まずIT部門に相談します。企業が承認したファイル転送サービスや社内のFTP、暗号化送信などの安全な手段を案内してくれます。勝手に個人サービスを使うとリスクがあります。
A1: まずIT部門に相談します。企業が承認したファイル転送サービスや社内のFTP、暗号化送信などの安全な手段を案内してくれます。勝手に個人サービスを使うとリスクがあります。
Q2: 個人のGoogleドライブやDropboxを使ったら必ず怒られる？
A2: 会社のルール次第です。許可がないまま業務データを置けばシャドーITで問題となる可能性が高いです。プライベート利用と業務利用を明確に分けましょう。
A2: 会社のルール次第です。許可がないまま業務データを置けばシャドーITで問題となる可能性が高いです。プライベート利用と業務利用を明確に分けましょう。
Q3: シャドーITが見つかったらどうなる？
A3: 影響の大きさや意図により対応は異なります。まずはITが調査してリスクを評価し、再発防止策や教育、必要ならシステム的な制限を行います。悪意がある場合は懲戒や法的対応になることもあります。
A3: 影響の大きさや意図により対応は異なります。まずはITが調査してリスクを評価し、再発防止策や教育、必要ならシステム的な制限を行います。悪意がある場合は懲戒や法的対応になることもあります。
関連キーワード: シャドーIT、オンラインストレージ、データ漏えい、SaaS、BYOD、MDM、CASB、DLP、アクセス管理、情報セキュリティ
\ せっかくなら /
ITパスポートを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！