シャドーITとは？未許可の業務利用を見分ける
ITパスポート試験 令和3年度 問65 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
シャドーITの例として，適切なものはどれか。
- ア
会社のルールに従い，災害時に備えて情報システムの重要なデータを遠隔地にバックアップした。
- イ
他の社員がパスワードを入力しているところをのぞき見て入手したパスワードを使って，情報システムにログインした。
- ウ
他の社員にPCの画面をのぞかれないように，離席する際にスクリーンロックを行った。
- エ
データ量が多く電子メールで送れない業務で使うファイルを，会社が許可していないオンラインストレージサービスを利用して取引先に送付した。
会話形式の解説
講師シャドーITは、会社が許可・管理していないITを業務で使うことです。使い方が便利かどうかではなく、会社の許可に注目します。
受験者危険な行為なら何でもシャドーITに当たると思っていました。
講師危険かどうかだけでは決まりません。パスワードをのぞき見て入手するのは、人から情報を得る手口であるソーシャルエンジニアリングの一種です。そのパスワードでのログインも、認証情報の不正利用という別の問題です。
受験者では、業務のために使ったサービスでも、会社が許可していなければ該当しますか。
講師はい。会社が許可していないオンラインストレージで業務ファイルを取引先に送る行為が、シャドーITの例です。業務上の必要があっても、未許可のサービスを使っています。
受験者遠隔地へのバックアップもITの利用ですが、会社のルールに従っていれば違うのですね。
講師そのとおりです。ルールに従ったバックアップは会社の管理下で行う災害対策なので、シャドーITには当たりません。
受験者離席時のスクリーンロックは、どう考えればよいですか。
講師画面を他人に見られないようにする対策で、クリアスクリーンに当たります。未許可のIT利用ではありません。
受験者業務で使うITが会社の許可・管理の下にあるかを確かめれば、ほかの問題と区別できますね。
講師はい。未承認の外部サービスの利用には、情報漏えいのリスクもあります。
まとめ
シャドーITは、会社が許可・管理していないITを業務で使うことです。会社が許可していないオンラインストレージで業務ファイルを送る行為が該当します。会社のルールに従うバックアップや離席時のスクリーンロックは該当しません。パスワードの不正利用は危険ですが、シャドーITとは別の問題です。
解答・解説
正解はエです
この問題のテーマ
シャドーITに当たる業務上のIT利用を見分ける問題です。
解き方の考え方
シャドーITかどうかは、ITを業務で使っているか、会社がその利用を許可・管理しているかで判断します。便利な使い方でも、未許可のサービスを業務に使えば該当します。
選択肢ごとの解説
- ×ア 会社のルールに従い，災害時に備えて情報システムの重要なデータを遠隔地にバックアップした。会社のルールに従った遠隔地バックアップは、組織の管理下で行う災害対策です。未許可のIT利用ではないため、シャドーITの例としては適切ではありません。
- ×イ 他の社員がパスワードを入力しているところをのぞき見て入手したパスワードを使って，情報システムにログインした。他の社員のパスワードをのぞき見て入手する行為は、ソーシャルエンジニアリングの一種です。そのパスワードでログインすることは認証情報の不正利用であり、シャドーITとは別の問題です。
- ×ウ 他の社員にPCの画面をのぞかれないように，離席する際にスクリーンロックを行った。離席時のスクリーンロックは、他人に画面を見られないようにする対策です。クリアスクリーンに当たり、未許可のIT利用ではありません。
- ○エ データ量が多く電子メールで送れない業務で使うファイルを，会社が許可していないオンラインストレージサービスを利用して取引先に送付した。会社が許可していないオンラインストレージを業務ファイルの送付に使っています。業務上の必要があっても、組織が許可・管理していないサービスの利用なので、シャドーITに当たります。
補足
この問題では、行為が安全か危険かだけで判断しないことが大切です。パスワードの不正利用も危険ですが、シャドーITを問う設問では、会社の許可・管理の有無に注目します。
POINT
- シャドーITは、組織が許可・管理していないITの業務利用です。
- 業務に便利でも、未許可の外部サービスを使えばシャドーITに当たります。
- 会社のルールに従うIT利用は、シャドーITとは区別します。
- 未承認の外部サービスを使うと、情報漏えいのリスクがあります。