Shadow IT
Shadow IT
Shadow IT（シャドーIT）とは
ひとことで
IT部門やセキュリティ部門の承認や管理を受けずに、従業員や部門が業務に使っているクラウドサービス、アプリ、機器など。情報漏えいやデータの所在不明、契約上のリスクにつながる。
たとえると
学校に届け出ずに、生徒が勝手に作ったグループで連絡網を回すようなものです。便利ですが、先生は何がどこで共有されているか把握できず、問題が起きても気づけません。
現場ではこう使う
あるデザイン会社では、社員が無料のファイル共有サービスで顧客データをやり取りしていました。CASBで利用状況を可視化したところ、多くの未承認サービスが見つかりました。会社は承認済みの代替サービスを用意し、利用ルールを周知しました。
試験のポイント
EXAM POINTCISMでは、シャドーITへの対応として「一律に禁止する」よりも、まず実態を把握し、業務ニーズを理解したうえで、承認された代替手段とポリシーを整備する対応が適切とされます。CISAでは、組織が利用中のサービスを網羅的に把握できているかが確認ポイントになります。