A-1情報セキュリティの脅威 · 脅威と脆弱性

シャドーIT

Shadow IT

しゃどーあいてぃー

従業員が、情報システム部門の承認や管理を経ずに、個人で契約したクラウドサービスや私物の端末、アプリケーションを業務に使うこと。組織が把握できない場所に業務データが置かれるため、情報漏えいや不正アクセスの原因となり、CASBによる利用状況の可視化などで管理する。

共有:

他の資格での定義

組織のIT部門の管理・許可なく、従業員が個人のデバイスやクラウドサービスを業務に使用すること。情報漏えいやセキュリティリスクの原因となる。

組織が把握・管理していない情報機器やクラウドサービスなどを、従業員が業務に利用すること。個人所有のスマートフォンや無許可のクラウドストレージの利用などが該当する。情報漏えいやセキュリティ事故のリスクを高める。

情報システム部門の許可を得ずに、従業員が業務で使っている機器やクラウドサービス。管理外のため脆弱性の把握も情報の追跡もできず、情報漏えいの温床となる。

従業員が情報システム部門の承認を得ずに業務で利用する機器やクラウドサービス。個人のオンラインストレージやチャットツールが典型で、管理外のため脆弱性の放置や情報漏えいの温床となる。CASBによる可視化が対策となる。

Past Exams

過去問で 5 回出題（情報セキュリティマネジメント試験 3・ITパスポート試験 1・プロジェクトマネージャ試験 1）。うち 4 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

組織の従業員が生成AIなどのAIを業務で使うときのルールを定めた方針。利用してよいサービス、入力してはならない情報（機密情報や個人情報）、出力内容の確認と責任、著作権への配慮、利用目的の範囲などを定める。AIガバナンスの一部として整備し、許可されていないAIの利用（シャドーAI）を防ぐ役割もある。

サーバやネットワーク機器などの情報システムの設備を、自社の施設内に設置して自社で運用・管理する形態。構成や設定、データの管理を自由に決められる一方、設備の調達や保守、障害・災害への備えをすべて自社で負担し、導入に時間と初期費用がかかる。クラウドサービスと対比される。

複数のクラウド事業者のサービスを組み合わせて利用する形態。特定の事業者への依存（ベンダーロックイン）を避け、用途に応じて各サービスの強みを生かせるほか、障害時の影響を分散できる。一方で、運用管理、セキュリティ設定、費用の管理が複雑になる。

利用者が事業者や担当部門の手を介さずに、Web画面からサービスの申込み、資源の調達や設定変更、問合せや情報検索などを自ら行えるポータル。クラウドでは仮想サーバなどを利用者が自分で即時に用意でき、サービスデスクでは要求の申請やナレッジの検索に使われる。

クラウド事業者がデータセンター群を設置している地理的な地域の単位。各リージョンは複数のアベイラビリティゾーンで構成されることが多い。利用者は、応答速度、適用される法令、データの保管場所の要件を考えて選び、災害対策では複数のリージョンにシステムを分散させる。

NIST（米国国立標準技術研究所）が定義するクラウドコンピューティングの5つの基本的な特性。オンデマンドセルフサービス、幅広いネットワークアクセス、リソースの共用、スピーディな拡張性、サービスが計測可能であることからなり、クラウドとそれ以外の形態を区別する基準となる。