シャドーITの意味と、似た用語との区別のしかた
情報セキュリティマネジメント試験 令和元年度秋期 午前 問10 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
シャドーITに該当するものはどれか。
- ア
IT製品やITを活用して地球環境への負荷を低減する取組
- イ
IT部門の許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス
- ウ
攻撃対象者のディスプレイやキータイプを物陰から盗み見て，情報を盗み出す行為
- エ
ネットワーク上のコンピュータに侵入する準備として，侵入対象の弱点を探るために組織や所属する従業員の情報を収集すること
会話形式の解説
講師この問題は「シャドーIT」という用語の意味を問うものです。選択肢には、名前や分野が近い別の用語の説明が並んでいます。それぞれが何の説明なのかを見分けられるかがポイントです。
受験者「シャドー」は影という意味なので、隠れて使われているITのことかなと思いました。ただ、物陰から盗み見る選択肢も「影」っぽくて迷います。
講師見当のつけ方は合っています。シャドーITは、組織の目が届かないところで使われているITを指します。物陰から相手の画面やキー入力を盗み見る行為は、ショルダーハッキングという別の用語です。
受験者ショルダーハッキングは、肩越しにのぞき込むイメージですね。攻撃の手口だから、シャドーITとは種類が違うということでしょうか。
講師そのとおりです。ショルダーハッキングは、人の不注意やすきを突くソーシャルエンジニアリングの一種です。シャドーITは攻撃の手口ではなく、組織の管理外でITが使われている状態のことです。
受験者侵入の準備として組織や従業員の情報を集める選択肢も、こっそり行うことなので紛らわしく感じました。
講師それはフットプリンティング、つまり偵察の説明です。攻撃者が攻撃する前に行う下調べなので、行為をするのは外部の攻撃者です。従業員が許可なく業務でITを使うシャドーITとは、行為をする人も目的も違います。
受験者地球環境への負荷を減らす取組は、グリーンITですね。名前に「IT」と色が入っているので並べられているだけで、管理外の利用とは関係がなさそうです。
講師はい、グリーンITは環境負荷を減らすための取組です。残る、IT部門の許可を得ずに従業員や部門が業務で使っているデバイスやクラウドサービスが、シャドーITの定義どおりの説明です。
受験者機器だけでなく、クラウドサービスも含まれるのですね。組織が把握していないと、どこにデータがあるか分からなくなりそうです。
講師そこがリスクの本質です。組織が把握も管理もできないので、情報漏えいなどにつながります。関連してよく間違えやすいのが、個人所有の端末を業務に使うBYODとの区別です。
受験者個人のスマートフォンを仕事で使うなら、それもシャドーITになるのではないですか。
講師BYODは、使える機器を限定するなどして、組織が許可したうえで管理下で運用する形が一般的です。組織が許可して管理しているBYODは、シャドーITには当たりません。判断の軸は、個人の機器かどうかではなく、組織の許可と管理があるかどうかです。
受験者整理すると、シャドーITは許可と管理のない業務利用、グリーンITは環境、ショルダーハッキングは盗み見、フットプリンティングは攻撃前の下調べ、ということですね。
まとめ
シャドーITとは、IT部門の許可を得ずに従業員や部門が業務で使っているデバイスやクラウドサービスのことです。組織が把握・管理できないため、情報漏えいなどのリスクにつながります。グリーンITは環境負荷を減らす取組、ショルダーハッキングは画面やキー入力の盗み見、フットプリンティングは攻撃前の情報収集で、どれもシャドーITとは別の用語です。個人の端末を使うBYODでも、組織が許可して管理していればシャドーITには当たらず、判断の軸は組織の許可と管理の有無です。
解答・解説
正解はイです
この問題のテーマ
「シャドーIT」という用語の意味を問う問題です。グリーンIT、ショルダーハッキング、フットプリンティングといった、名前や分野が近い用語と区別できるかが試されています。
解き方の考え方
「シャドー（影）」という言葉から、組織の目が届かないところで使われているITを指す、と見当をつけると解きやすくなります。そのうえで、各選択肢が何を説明しているかを考えます。環境への取組、盗み見の手口、攻撃前の下調べはどれも別の用語の説明です。「IT部門の許可を得ていない業務利用」と書かれているのはイだけなので、イを選べます。
選択肢ごとの解説
- ×ア IT製品やITを活用して地球環境への負荷を低減する取組地球環境への負荷を減らすためにITを活用する取組はグリーンITの説明です。組織の管理外でITを使うこととは関係がないため、シャドーITには当たりません。
- ○イ IT部門の許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービスIT部門の許可を得ずに、従業員や部門が業務で使っているデバイスやクラウドサービスは、シャドーITの定義どおりです。対象は端末などの機器に限らず、クラウドサービスも含まれます。組織が把握・管理できないため、情報漏えいなどのリスクにつながります。
- ×ウ 攻撃対象者のディスプレイやキータイプを物陰から盗み見て，情報を盗み出す行為相手の画面やキー入力を物陰から盗み見て情報を得る行為はショルダーハッキングです。人の不注意やすきを突くソーシャルエンジニアリングの一種で、シャドーITとは別の種類の脅威です。
- ×エ ネットワーク上のコンピュータに侵入する準備として，侵入対象の弱点を探るために組織や所属する従業員の情報を収集すること侵入の準備として、対象の弱点や組織・従業員の情報を集める行為はフットプリンティング（偵察）です。これは攻撃者が攻撃前に行う下調べであり、従業員が許可なく業務にITを使うこととは違います。
補足
よく間違えやすいのがBYOD（個人所有の端末を業務に使うこと）との区別です。BYODは、使える機器を限定し、組織の管理下で運用することが前提です。組織が許可して管理しているBYODはシャドーITに当たりません。シャドーITかどうかは、個人の機器かどうかではなく、組織の許可と管理があるかどうかで判断します。
POINT
- シャドーITとは、IT部門の許可を得ずに従業員や部門が業務で使っている機器やサービスのことです。
- シャドーITの対象には、デバイスだけでなくクラウドサービスも含まれます。
- シャドーITは組織の管理が届かないため、情報漏えいなどのセキュリティリスクがあります。
- グリーンITは環境負荷の低減、ショルダーハッキングは盗み見、フットプリンティングは攻撃前の情報収集を指します。