ITパスポート試験過去問 令和3年度（2021年）問65
シャドーITの例として，適切なものはどれか。
選択肢
- ア：会社のルールに従い，災害時に備えて情報システムの重要なデータを遠隔地にバックアップした。
- イ：他の社員がパスワードを入力しているところをのぞき見て入手したパスワードを使って，情報システムにログインした。
- ウ：他の社員にPCの画面をのぞかれないように，離席する際にスクリーンロックを行った。
- エ：データ量が多く電子メールで送れない業務で使うファイルを，会社が許可していないオンラインストレージサービスを利用して取引先に送付した。
- ア
- イ
- ウ
- エ
正解と解き方・学習ポイント（AI解説）
シャドーITとは、会社が把握または承認していないITサービスや機器を、従業員が業務で利用することです。会社が許可していないオンラインストレージサービスで業務ファイルを取引先に送付する行為は、会社の管理外のIT利用に当たり、シャドーITの例として適切です。
Point
この問題は、シャドーITが何を指すかを理解し、他のセキュリティに関する行為（正規の運用、不正アクセス対策など）と区別できるかを確認することがねらいです。
解くために必要な知識
この問題を解くには、シャドーITの定義（会社未承認のIT利用）と、代表例（無許可のクラウドサービス利用など）を理解している必要があります。
用語の整理
| 用語 | 意味 |
|---|---|
| シャドーIT | 会社が把握または承認していないIT機器、アプリ、クラウドサービスなどを、従業員が業務に利用することです。 |
| オンラインストレージ | インターネット経由でファイルを保存、共有できるサービスです。 |
シャドーITで問題になりやすい点
-
情報漏えいにつながる可能性があります。
-
ファイルの持ち出しや共有の記録を会社が管理できない可能性があります。
他の選択肢に出てくる用語
| 用語 | 意味 |
|---|---|
| バックアップ | 障害や災害に備え、データを別媒体や別場所に複製して保管することです。 |
| 遠隔地バックアップ | 同一拠点が災害などで被害を受けても復旧できるよう、地理的に離れた場所にバックアップすることです。 |
| パスワード | 本人確認（認証）のための秘密情報です。 |
| スクリーンロック | 端末を操作できない状態にし、再利用時に認証を要求する機能です。 |
問題の解法手順
各選択肢の整理
| 選択肢 | 内容 | シャドーITか | 理由 |
|---|---|---|---|
| ア | 会社のルールに従って遠隔地にバックアップ | いいえ | 会社のルールに従った正規の運用であり、未許可の利用ではありません。 |
| イ | パスワードをのぞき見してログイン | いいえ | 不正アクセスに関する行為であり、未許可のITサービスを業務利用する話ではありません。 |
| ウ | 離席時にスクリーンロック | いいえ | 正しいセキュリティ対策であり、未許可の利用ではありません。 |
| エ | 未許可のオンラインストレージで取引先に送付 | はい | 会社が許可していないサービスを業務で利用しており、シャドーITに該当します。 |
選択肢ごとの解説
- ア：不正解
遠隔地バックアップは災害対策としての正規のデータ保護手段です。問題文に「会社のルールに従い」とあるため、会社未承認のIT利用ではなく、シャドーITには当たりません。
- イ：不正解
他人のパスワードをのぞき見してログインする行為は、不正な認証情報の入手と不正アクセスの問題です。シャドーIT（会社未承認のITサービスや機器の業務利用）とは論点が異なります。
- ウ：不正解
離席時のスクリーンロックは、第三者による覗き見や不正操作を防ぐための端末管理です。会社未承認のサービスや機器を業務で利用する行為ではないため、シャドーITの例ではありません。
- エ：正解
会社が許可していないオンラインストレージサービスを業務で使い、取引先にファイルを送付しているため、会社の管理外のITサービス利用に当たります。シャドーITの典型例です。
まとめ
シャドーITとは、会社が把握または承認していないITサービスや機器を、従業員が業務で利用することです。会社が許可していないオンラインストレージサービスで業務ファイルを取引先に送付する行為は、会社の管理外のIT利用に当たり、シャドーITの例として適切です。
理解すべき用語
- シャドーIT
従業員が会社の許可なく業務でIT機器やサービスを使うことです。
テクノロジ系 > 技術要素 > セキュリティ
シャドーIT
従業員が会社の許可なく業務でIT機器やサービスを使うことです。
遠隔地バックアップは災害対策としての正規のデータ保護手段です。問題文に「会社のルールに従い」とあるため、会社未承認のIT利用ではなく、シャドーITには当たりません。
他人のパスワードをのぞき見してログインする行為は、不正な認証情報の入手と不正アクセスの問題です。シャドーIT（会社未承認のITサービスや機器の業務利用）とは論点が異なります。
離席時のスクリーンロックは、第三者による覗き見や不正操作を防ぐための端末管理です。会社未承認のサービスや機器を業務で利用する行為ではないため、シャドーITの例ではありません。
会社が許可していないオンラインストレージサービスを業務で使い、取引先にファイルを送付しているため、会社の管理外のITサービス利用に当たります。シャドーITの典型例です。