情報セキュリティマネジメント 平成29年度 秋期 午前 問16

✓ これが正解イ IT部門の公式な許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス

解説

許可を得ずに業務で使う機器やクラウドサービスのことです。

シャドーITは、IT部門の公式な許可を得ないまま、従業員や部門が業務に使っているデバイスやクラウドサービスのことです。会社の管理が届かないところで使われるため、対策の状態を把握できず、情報漏えいやマルウェアの感染が起きても気付きにくいという問題を抱えます。個人所有のスマートフォンや、無料のクラウドストレージを仕事のファイル共有に使ってしまう例が典型です。手を打つときは、まず利用の実態をつかむこと、そのうえで業務に必要な機能を正規の手続で使えるようにして、抜け道を選ぶ理由をなくしていくことが要になります。

ほかの選択肢の解説

• ア IT製品やITを活用して地球環境への負荷を低減する取組み：IT製品やITの活用によって地球環境への負荷を減らす取組は、環境に配慮したIT利用という別の考え方を述べたものです。許可を得ないIT利用を指す言葉の説明にはなっていません。
• ウ 攻撃対象者のディスプレイやキータイプを物陰から盗み見て，情報を盗み出すこと：ディスプレイやキータイプを物陰から盗み見て情報を得る行為は、人の隙につけ込むソーシャルエンジニアリングの手口の一つです。無許可の機器やサービスを業務に使うこととは別の話です。
• エ ネットワーク上のコンピュータに侵入する準備として，攻撃対象の弱点を探るために個人や組織などの情報を収集すること：侵入の準備として、攻撃対象の弱点を探るために個人や組織の情報を集める行為は、下調べの段階にあたるフットプリンティングです。従業員が業務のために勝手にITを使うこととは異なります。