シャドーITとは？

シャドーITの意味

情報システム部門の承認や把握を経ずに、業務で利用されている機器やクラウドサービス。可視化されていないため、情報の持ち出し経路になっても検知できず、退職者のアカウントや設定不備も管理対象から漏れ続ける。

シャドーITの具体例

大容量ファイルの受渡しに個人契約のオンラインストレージが使われ、共有リンクが期限無しで外部に残る。プロキシログを解析して未承認サービスへの通信を洗い出し、業務上必要なものは正式契約へ移し、残りは遮断する。

シャドーITは試験でどう引っ掛けられる？

一律遮断だけでは業務要件が満たせず、より見えない手段へ逃げるだけになりやすい。利用実態の可視化と正規の代替手段の提供をセットにする運用面の解答が求められる点で、単なる技術的遮断と区別する。

シャドーITと関連する用語

• CASB
• SASE
• 内部不正

シャドーITが出た過去問

• セキュリティ対策として,CASB(Cloud Access Security Broker)を利用した際の効果はどれか。

  正解：クラウドサービス利用組織の管理者が,組織の利用者が利用している全てのクラウドサービスの利用状況の可視化を行うことによって,許可を得ずにクラウドサービスを利用している者を特定できる。

  要点：CASBは利用側がクラウド利用を可視化・制御する仕組み

  CASBは、利用者とクラウドサービスの間に位置して通信を可視化・制御する仕組みで、可視化、コンプライアンス、データセキュリティ、脅威防御の四つの機能が柱とされる。導入するのはクラウドを利用する側の組織であり、従業員がどのクラウドサービスをどう使っているかを把握できるため、情報システム部門が把握していないシャドーITの発見に有効である。クラウド事業者側の運用対策とは立場が異なる点に注意する。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）

• セキュリティ対策として,CASB(Cloud Access Security Broker)を利用した際の効果はどれか。

  正解：クラウドサービス利用組織の管理者が,従業員が利用しているクラウドサービスに対して,CASBを利用して利用状況の可視化を行うことによって,許可を得ずにクラウドサービスを利用している者を特定できる。

  要点：CASBは利用状況の可視化でシャドーITを見つけ統制する

  CASBは、利用者とクラウドサービスの間に位置し、通信を仲介または可視化することで、どの部署の誰がどのサービスをどう使っているかを把握し、統一した方針を適用する仕組みである。情報システム部門が把握していない、いわゆるシャドーITの発見と統制はその代表的な効果であり、可視化・コンプライアンス・データ保護・脅威防御の四つの柱で説明される。

  出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問10（IPA）

• セキュリティ対策として、CASBを利用した際の効果はどれか。

  正解：クラウドサービスカスタマの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して利用状況の可視化を行うことによって、許可を得ずにクラウドサービスを利用している者を特定できる。

  要点：CASBはクラウド利用を可視化しシャドーITを把握できる

  CASBは、利用者とクラウドサービスの間に位置し、通信を仲介または監視してクラウド利用を統制する仕組みである。どの部署の誰がどのサービスを使っているかを可視化できるため、情報システム部門が把握していない、いわゆるシャドーITの発見に有効である。可視化のほか、データ保護、脅威防御、コンプライアンス確認といった機能も提供される。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）