シャドーIT

組織が把握・管理していない情報機器やクラウドサービスなどを、従業員が業務に利用すること。個人所有のスマートフォンや無許可のクラウドストレージの利用などが該当する。情報漏えいやセキュリティ事故のリスクを高める。

情報システム部門の許可を得ずに、従業員が業務で使っている機器やクラウドサービス。管理外のため脆弱性の把握も情報の追跡もできず、情報漏えいの温床となる。

従業員が情報システム部門の承認を得ずに業務で利用する機器やクラウドサービス。個人のオンラインストレージやチャットツールが典型で、管理外のため脆弱性の放置や情報漏えいの温床となる。CASBによる可視化が対策となる。

組織が把握・管理していない情報機器やクラウドサービスなどを、従業員が業務に利用すること。個人所有のスマートフォンや無許可のクラウドストレージの利用などが該当する。情報漏えいやセキュリティ事故のリスクを高める。

従業員が、情報システム部門の承認や管理を経ずに、個人で契約したクラウドサービスや私物の端末、アプリケーションを業務に使うこと。組織が把握できない場所に業務データが置かれるため、情報漏えいや不正アクセスの原因となり、CASBによる利用状況の可視化などで管理する。

リスクの特定、分析、評価を体系的に行うプロセス。リスクの発生確率と影響度を評価し、対策の優先度を決定する。経営リスクや情報セキュリティリスクなど、さまざまな分野のリスクマネジメントの中核的な手法。

組織の情報資産に対して、どのようなリスクが存在するかを洗い出すプロセス。脅威と脆弱性を把握し、リスクの一覧を作成する。

特定されたリスクについて、発生確率と影響度を分析してリスクの大きさを算定するプロセス。定量的分析と定性的分析の手法がある。

リスク分析の結果をもとに、リスクの重大性を判断し、対応の優先順位を決定するプロセス。許容可能なリスクかどうかの判断基準と比較して評価する。

リスク評価の結果に基づいて、リスクに対する具体的な対処方法を選択・実施するプロセス。回避、移転、低減、保有の4つの対応方法がある。

リスクの原因となる活動やシステムの利用を取りやめることでリスクをなくす対応方法。リスクが大きすぎて他の対策では対処しきれない場合に選択される。