シャドーITとBYODとは？

シャドーITとBYODの意味

情報システム部門の把握しないまま業務で使われる機器やクラウドサービスがシャドーIT、私物端末の業務利用を会社が制度として認めるのがBYOD。前者は統制の外にあることが問題で、後者は制度化されている点が決定的に違う。

シャドーITとBYODの具体例

社内の共有手段が不便なため、担当者が個人契約のオンラインストレージへ顧客データを置く、というのがシャドーIT。これを防ぐには利便性の高い正規手段を用意し、通信ログやCASBのような仕組みで未承認サービスへの接続を可視化する。

シャドーITとBYODは試験でどう引っ掛けられる？

シャドーITは悪意ではなく「正規の手段が使いにくい」ことから生じるため、禁止と処罰だけでは減らない。またBYODは端末費用が浮く一方、私物への遠隔消去や業務データの分離、私生活の監視にならない配慮など、制度設計の負担が増える。

シャドーITとBYODと関連する用語

• EUC（エンドユーザコンピューティング）
• テレワーク
• 情報セキュリティポリシーと三層構造

シャドーITとBYODが出た過去問

• BYOD（Bring Your Own Device）の説明はどれか。

  正解：従業員が個人で所有する情報機器を業務のために使用すること

  要点：BYODは個人所有の機器を業務に使うこと

  BYODは、従業員が個人で所有するスマートフォンやPCなどの機器を、業務のために使用することを指します。機器調達費の削減や使い慣れた端末による生産性向上が期待できる一方、私物端末に業務データが残るため、紛失時の情報漏えいや私用と業務の切り分けといった管理上の課題が伴います。

  出典：平成29年度 春期 基本情報技術者試験 午前 問64（IPA）

• BYODの説明，及びその情報セキュリティリスクに関する記述のうち，適切なものはどれか。

  正解：従業員が私的に保有する情報端末を業務に利用することであり，セキュリティ設定の不備に起因するウイルス感染などの情報セキュリティリスクが増大する。

  要点：BYODは私物端末の業務利用で管理不足がリスクになる

  BYODは、従業員が私物の情報端末を業務に用いることを指す。会社の管理が届きにくいため、OSやウイルス対策の更新漏れなど設定不備に起因する感染や、私物端末に業務データが残ることによる漏えいが問題になる。会社貸与端末の話ではない点を押さえたい。

  出典：平成28年度 春期 基本情報技術者試験 午前 問42（IPA）

• A社はIT開発を行っている従業員1,000名の企業である。総務部50名、営業部50名で、ほかは開発部に所属している。開発部員の9割は客先に常駐している。現在、A…

  正解：(一), (五)

  要点：BYODのVPN許可は接続増と私物端末経由の拡散が主リスク

  個人所有PCからのVPN接続を許可すると、これまで接続していなかった客先常駐開発部員の分だけ接続数が増え、回線やVPNサーバの負荷が上がって可用性が損なわれるおそれがあります（一）。また会社が管理していない私物PCが社内ネットワークにつながるため、マルウェアに感染した端末経由で社内へ拡散するリスクが新たに生じます（五）。A社PCの紛失は貸与していない部員には当てはまらず、総務部員の個人所有PC接続は今回の許可対象外です。

  出典：令和4年度 s 基本情報技術者試験 kamokuB 問18（IPA）

• A社は従業員450名の商社であり、昨年から働き方改革の一環として、在宅でのテレワークを推進している。A社のシステム環境を図1に示す。 〔図1: A社のシステム環…

  正解：A社利用クラウドサービスにA社外から接続する際の認証に2要素認証を導入する。

  要点：接続元制限が外れる分は認証強化(2要素)で補う

  これまでA社利用クラウドサービスへのログインは社内ネットワーク経由に限定されており、接続元の制限が事実上の防御になっていた。直接接続を許すとこの制限が外れ、利用者IDとパスワードだけが頼りになるため、漏えいや推測による不正アクセスのリスクが高まる。そこで社外から接続する際の認証を2要素認証にして、パスワードだけでは侵入できないようにすることがリスク低減策となる。

  出典：令和6年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）