情報セキュリティ基礎概念と脅威・脆弱性｜平成30年度 秋期 情報セキュリティマネジメント試験 午前 問16

• ✓ これが正解シャドーIT
• ソーシャルエンジニアリング
• ダークネット
• バックドア

解説

許可を得ずに業務利用される機器やサービスがシャドーITです。

シャドーITは、情報システム部門の許可を得ないまま、従業員や部門が業務に使っているデバイスやクラウドサービス、ソフトウェアのことです。会社の管理の目が届かないところで使われるため、セキュリティ対策の状態を把握できず、情報漏えいやマルウェア感染が起きても気付きにくいという問題があります。個人所有のスマートフォンや無許可のクラウドストレージを仕事に使う例が典型です。本来必要な許可を得ずに勝手に利用されるという設問の説明は、この用語にそのまま当てはまります。

ほかの選択肢はなぜ違うのか

• ソーシャルエンジニアリングは、技術的な弱点ではなく人の心理や習慣につけ込んでパスワードなどの情報を手に入れる行為を指します。無許可のデバイスやサービスの利用を指す用語ではありません。
• ダークネットは、割り当てられていながら実際には使われていないIPアドレスの空間を指し、そこへ届く通信を観測して攻撃の兆候をつかむ用途で語られます。社内で許可を得ずに使われる機器やクラウドサービスのことではありません。
• バックドアは、正規の認証や手続を経ずにシステムへ入り込めるように仕込まれた隠れた入口のことです。従業員が勝手に使う機器やクラウドサービスを指す言葉ではありません。

この問題に関係する言葉

• シャドーIT情報システム部門の許可を得ないまま、業務に使われている機器やクラウドサービス。管理の外にあるので危険です。
• ソーシャルエンジニアリング技術ではなく人の心理や習慣につけ込んで情報を聞き出す手口。急いでいるふりや、権威をよそおう形が典型です。
• バックドア正規の手続を経ずに入れるよう、攻撃者がひそかに用意した入口のことです。認証を通らずに使えるURLや、秘密裏に作られた利用者アカウントが該当します。
• クラウドサービス自社で設備を持たず、事業者が用意したものをネットワーク越しに借りて使う形。どこまでを事業者が守るかは契約によって分かれます。

出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問16

この問題を演習で解く

同じ単元をまとめて解くなら情報セキュリティ基礎概念と脅威・脆弱性へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）