情報セキュリティマネジメント試験 科目A 情報セキュリティ全般 練習問題 第16問: ある部署が、業務の効率を上げるために、情報システム部門に届け出ないまま無料のオンラインストレージと生成 AI サービスに業務データを入れて使っていた。一部の従業

正解: 1. いわゆるシャドー IT に当たり、組織の統制が及ばないまま業務データが組織外のサービスに置かれている脆弱性である。

シャドー IT と捉えるのが適切です。総務省「テレワークセキュリティガイドライン 第5版」は、許可していないソフトウェアやクラウドサービス等が勝手に利用されること（いわゆるシャドー IT）で、守るべき業務情報について管理者によるセキュリティ統制が行えなくなり、情報漏えいのリスクが増えると説明しています。IPA『情報セキュリティ10大脅威 2026 解説書（組織編）』も、未許可の AI サービスの業務利用をシャドー IT として禁止の対象に挙げています。BYOD は個人所有の端末を業務に使う形態ですが、端末を管理しても、届け出のないサービスの利用は把握できません。サプライチェーン攻撃は取引先などのつながりを悪用する攻撃で、この事例では攻撃は起きていません。共有設定を直しても、把握していないサービスは管理の対象に入りません。まず利用の実態を把握することが出発点です。

関連キーワード: シャドーIT・シャドーAI・クラウドサービス・脆弱性