シャドーITとBYODとは？

シャドーITとBYODの意味

情報システム部門の把握しないまま業務で使われる機器やクラウドサービスがシャドーIT、私物端末の業務利用を会社が制度として認めるのがBYOD。前者は統制の外にあることが問題で、後者は制度化されている点が決定的に違う。

シャドーITとBYODの具体例

社内の共有手段が不便なため、担当者が個人契約のオンラインストレージへ顧客データを置く、というのがシャドーIT。これを防ぐには利便性の高い正規手段を用意し、通信ログやCASBのような仕組みで未承認サービスへの接続を可視化する。

シャドーITとBYODは試験でどう引っ掛けられる？

シャドーITは悪意ではなく「正規の手段が使いにくい」ことから生じるため、禁止と処罰だけでは減らない。またBYODは端末費用が浮く一方、私物への遠隔消去や業務データの分離、私生活の監視にならない配慮など、制度設計の負担が増える。

シャドーITとBYODと関連する用語

• EUC（エンドユーザコンピューティング）
• テレワーク

シャドーITとBYODが出た過去問

• BYODの説明として、適切なものはどれか。

  正解：企業などにおいて、従業員が私物の情報端末を自社のネットワークに接続するなどして、業務で利用できるようにすること

  要点：BYODは私物端末の業務利用。管理策と規程が前提

  従業員が個人で所有する情報端末を業務に使う運用形態を指す。端末の調達費用を抑えられ、使い慣れた機器で作業できる利点がある一方、業務データが私物端末に残る、私物端末経由でマルウェアが社内に持ち込まれるといった危険があるため、利用範囲や管理方法を定めた規程とMDMなどの管理策が欠かせない。

  出典：平成30年度 秋期 ITパスポート試験 問30（IPA）

• BYODの事例として、適切なものはどれか。

  正解：私物のスマートフォンから会社のサーバにアクセスして、電子メールやスケジューラを利用することができるようにした。

  要点：BYODは私物端末を業務利用すること

  BYODは、従業員の私物端末を業務に利用することを指す。導入すれば端末調達費の抑制や使い慣れた端末による効率化が期待できる反面、紛失時の情報漏えいや管理の難しさがあるため、利用範囲や安全対策の規定が前提となる。

  出典：令和3年度 秋期 ITパスポート試験 問27（IPA）

• シャドーITの例として、適切なものはどれか。

  正解：データ量が多く電子メールで送れない業務で使うファイルを、会社が許可していないオンラインストレージサービスを利用して取引先に送付した。

  要点：シャドーITは会社の管理外の機器・サービスの業務利用

  シャドーITとは、従業員が会社の許可や管理を受けずに業務で使う機器やクラウドサービスのことを指す。会社が認めていないオンラインストレージで業務ファイルをやり取りする行為は、管理外の経路に情報が置かれるため典型的なシャドーITに当たる。

  出典：令和3年度 秋期 ITパスポート試験 問65（IPA）

• BYODの事例として，適切なものはどれか。

  正解：会社が利用を許可した私物のスマートフォンを業務で使用する。

  要点：BYODは会社が認めた私物端末を業務に使うこと

  BYOD（Bring Your Own Device）は、従業員が個人で所有する端末を、会社の許可のもとで業務に使う形態を指します。判断のポイントは端末の所有者が個人であることと、用途が業務であることの二点です。

  出典：令和4年度 秋期 ITパスポート試験 問17（IPA）

• BYODに関する記述として、適切なものはどれか。

  正解：企業の業務に、従業員が私物の携帯情報端末を許可を得た上で利用すること

  要点：BYODは私物端末を会社の許可を得て業務に使うこと

  BYODはBring Your Own Deviceの略で、従業員が個人所有のスマートフォンやPCを、会社の承認のもとで業務に使う考え方を指す。端末調達費を抑えられる半面、情報漏えいや私物と業務データの混在といったリスクがあるため、利用規程やMDMによる管理が前提となる。

  出典：令和8年度 秋期 ITパスポート試験 問2（IPA）