問題 No.5702
従業員が組織の許可を得ずに私物の端末や未承認のクラウドサービスを業務に利用するシャドーITに関する記述として、不適切なものはどれか。
【正解の解説】
組織が全ての利用状況を完全に把握・一元管理できるため、セキュリティ上のリスクが軽減される。
会社に隠れて勝手に合鍵を作り、別の部屋に出入りしているような状態です。管理者が存在を把握できていないため、セキュリティ対策や鍵の交換なども一切できず、リスクは劇的に跳ね上がります。したがって、「完全に把握・一元管理できる」という記述は事実と真逆であり、不適切となります。
スポンサーリンク
【その他の選択肢の解説】
利便性や業務効率の向上を優先するあまり、情報漏洩やマルウェア感染の温床となる危険性を孕んでいる。
「仕事がやりやすいから」と個人のスマホや野良クラウドを勝手に使うと、会社のセキュリティポリシーが適用されません。ウイルス対策ソフトが入っていなかったり、データをプライベートと混同して誤送信したりする温床になり、シャドーITの最大の問題点そのものを指しています。
正規のIT部門による管理が及ばない領域であるため、万が一のセキュリティインシデント発生時に原因究明が困難となる。
学校の自習室で、先生の目が届かないところで勝手にルール違反の遊びをしているようなものです。いざトラブルや事故が起きたとき、「誰が・いつ・どこで・何をしたのか」のログや足跡が残らないため、原因究明や被害範囲の特定が極めて難しくなるのが特徴です。
コスト削減や業務の迅速化を目的として、経営層や管理部門が意図的かつ公式に導入を推奨する手法の一つである。
経営層が公式に推奨して導入するものは「正規のIT導入」や「BYODの正式運用」と呼ばれます。シャドーITの「シャドー（影）」という名前の通り、組織の目の届かないところでこっそり使われている状態を指すため、公式に推奨される手法とするのは完全に矛盾しています。