プロジェクトマネージャ 2016年午前2 問24

問題文

シャドーITに該当するものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：IT製品やITを活用して地球環境への負荷を低減する取組み

イ：IT部門の公式な許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービス（正解）

ウ：攻撃対象者のディスプレイやキータイプを物陰から盗み見て、情報を盗み出すこと

エ：ネットワーク上のコンピュータに侵入する準備として、攻撃対象の弱点を探るために個人や組織などの情報を収集すること

🔒 解説は解答すると表示されます

シャドーIT【午前2解説】

正解の理由

シャドーITとは、組織のIT部門が把握・管理していない状態で、従業員や部門が業務に利用しているデバイスやクラウドサービスのことです。

IT部門の公式な許可を得ずに業務利用されているデバイスやクラウドサービスを説明しているため、イが正解です。たとえば、会社の許可を得ずに個人向けのファイル共有サービスへ業務資料を保存する行為が該当します。

解法ステップ

「シャドーIT」が、組織のIT管理から外れたIT利用を指す用語だと確認します。
選択肢から、IT部門の許可や管理の有無に注目します。
公式な許可を得ずに業務利用するデバイスやサービスを挙げているイを選びます。

選択肢別の誤答解説

ア：誤り
IT製品やITの活用によって環境負荷を低減する取組みは、グリーンITの説明です。
イ：正解
IT部門の公式な許可を得ず、従業員や部門が業務に利用しているデバイスやクラウドサービスです。組織から見えにくく、セキュリティ管理や情報漏えい対策が不十分になるおそれがあります。
ウ：誤り
ディスプレイやキーボードの操作を盗み見る行為は、ショルダーハッキングなどに該当します。人の視線を利用して情報を盗み出す手口です。
エ：誤り
攻撃対象の弱点を探るため、事前に個人や組織の情報を収集する行為は、偵察（リコンナサンス）に該当します。

よくある誤解

会社で利用されているITサービスなら、すべてシャドーITだと思う
IT部門が把握し、正式に許可・管理しているサービスは、通常シャドーITには該当しません。
個人所有のデバイスは、必ずシャドーITだと思う
個人所有であることだけでは決まりません。組織の許可や管理の有無がポイントです。
シャドーITは、攻撃者が使う特殊なIT技術だと思う
従業員などが、組織の管理外で業務にITを利用する状態を指します。

補足コラム

シャドーITは、業務を効率化する目的で使われる場合もあります。しかし、組織が利用状況を把握できないと、重要情報の保存場所やアクセス権限を適切に管理できず、情報漏えいやデータ消失につながる可能性があります。利用を一律に禁止するだけでなく、安全な代替サービスを用意し、正式な利用手順を周知することも重要です。

FAQ

Q. 無料のクラウドサービスを仕事に使うと、必ずシャドーITですか？
A. IT部門の許可を得ず、組織の管理外で業務に利用している場合は、シャドーITに該当する可能性があります。

Q. シャドーITが問題になるのはなぜですか？
A. 組織が利用状況や保存データを把握しにくく、アクセス制御やセキュリティ対策が行き届かないおそれがあるためです。

関連キーワード: シャドーIT、グリーンIT、ショルダーハッキング、偵察、クラウドサービス、情報漏えい

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

プロジェクトマネージャを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！