シャドーITとは？

シャドーITの意味

会社の許可を得ずに従業員が個人的に導入・利用するIT機器やクラウドサービスのこと。利便性のために使われるが、管理者の把握できない経路で情報漏えいが起こる原因になる。

シャドーITの具体例

業務効率化のために従業員が私物のクラウドストレージへ資料をアップロードし、それが社外に流出してしまう事例が典型である。

シャドーITは試験でどう引っ掛けられる？

マルウェアなど技術的脅威ではなく、管理外の利用という運用面のリスクである点が問われる。対策はルールの整備と許可されたツールの提供。

シャドーITと関連する用語

• 内部不正

シャドーITが出た過去問

• シャドーITに該当するものはどれか。

  正解：IT部門の公式な許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス

  要点：シャドーITはIT部門が把握していない業務利用の機器やサービス

  シャドーITは、IT部門の承認を得ないまま従業員や部門が業務に使っている機器やクラウドサービスを指す。組織が把握できないため、脆弱性の放置や情報の外部保存が管理外で進み、漏えいの温床になる。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問16（IPA）

• 業務への利用には，会社の情報システム部門の許可が本来は必要であるのに，その許可を得ずに勝手に利用されるデバイスやクラウドサービス，ソフトウェアを指す用語はどれか…

  正解：シャドーIT

  要点：シャドーITは無許可で業務利用される機器やサービス

  シャドーITとは、情報システム部門の把握や承認を経ずに、従業員が業務のために勝手に使っている機器やクラウドサービス、ソフトウェアを指す。管理側が存在を知らないため、脆弱性管理もアクセス制御も及ばず、情報漏えいの温床になりやすい。悪意ではなく業務効率化の善意から生じることが多いのが特徴である。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問16（IPA）

• シャドーITに該当するものはどれか。

  正解：IT部門の許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービス

  要点：シャドーITはIT部門の管理外で業務利用される機器やサービス

  シャドーITとは、IT部門の承認や管理を経ずに従業員や部門が業務で使っている機器やクラウドサービスを指す。組織が把握していないため脆弱性管理もアクセス制御も及ばず、情報漏えいの温床になる。禁止だけでは利用が地下に潜るため、実態把握と代替となる正規サービスの提供が対策の要となる。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）