シャドーIT
更新日:
用語解説
シャドーITは、情報システム・セキュリティ等の正式な承認、把握、管理を経ずに、従業員や部門が業務へ利用する端末、ソフトウェア、クラウドサービス、アカウント、データ連携です。
■ 試験で押さえるポイント
個人クラウド、無断SaaS、私物端末、生成AIへの業務データ入力、独自マクロ・DBなど、利便性や正規手段の遅さを理由に生じます。
組織が資産・データ所在を把握できず、アクセス権、契約、保存地域、バックアップ、脆弱性、退職時回収、法令対応を統制できません。
ネットワーク・認証・経費・データフローの可視化、CASB等で発見し、リスクに応じて禁止、代替、承認、データ移行、正式管理を行います。
■ 選択肢での判断ポイント
IT部門等が把握・承認していない業務ITです。悪意がなくてもデータ所在・権限・契約を統制できない点が問題です。
例: 部門が個人向けクラウドへ顧客資料を保存していた場合、共有を止めて影響を調査し、承認済みサービスへ移行して権限・保持期間を管理します。