情報セキュリティマネジメント 平成30年度 秋期 午前 問16

✓ これが正解ア シャドーIT

解説

許可を得ずに業務利用される機器やサービスがシャドーITです。

シャドーITは、情報システム部門の許可を得ないまま、従業員や部門が業務に使っているデバイスやクラウドサービス、ソフトウェアのことです。会社の管理の目が届かないところで使われるため、セキュリティ対策の状態を把握できず、情報漏えいやマルウェア感染が起きても気付きにくいという問題があります。個人所有のスマートフォンや無許可のクラウドストレージを仕事に使う例が典型です。本来必要な許可を得ずに勝手に利用されるという設問の説明は、この用語にそのまま当てはまります。

ほかの選択肢の解説

• イ ソーシャルエンジニアリング：ソーシャルエンジニアリングは、技術的な弱点ではなく人の心理や習慣につけ込んでパスワードなどの情報を手に入れる行為を指します。無許可のデバイスやサービスの利用を指す用語ではありません。
• ウ ダークネット：ダークネットは、割り当てられていながら実際には使われていないIPアドレスの空間を指し、そこへ届く通信を観測して攻撃の兆候をつかむ用途で語られます。社内で許可を得ずに使われる機器やクラウドサービスのことではありません。
• エ バックドア：バックドアは、正規の認証や手続を経ずにシステムへ入り込めるように仕込まれた隠れた入口のことです。従業員が勝手に使う機器やクラウドサービスを指す言葉ではありません。