平成28年度春期 プロジェクトマネージャ 午前Ⅱ 問24

IT利用形態の用語と事例の対応づけ

IT利用形態を表す用語は、名称だけで判断すると似た概念と混同しやすい分野です。用語の定義を構成要素に分けて捉え、事例に書かれた状況のどの要素がその定義と一致するかを一つずつ照らし合わせる姿勢で検討しましょう。

この問題で問われていること

確認すべき観点は一つ、『用語の定義に含まれる要素と、事例の記述に含まれる要素が過不足なく対応しているか』です。印象的な語句に引きずられず、定義の核となる条件が事例で満たされているかに注目してください。

視点

情報セキュリティ管理の用語は、一般的な言葉の組合せで作られていることが多く、字面から意味を推測すると誤解しやすくなります。学習の際は、まず自分の知識で用語の定義を一文で言えるか確かめ、その定義を『何が』『どのような状況で』『どう扱われるか』といった要素に分けて整理します。そのうえで、事例側の記述も同じ要素に分解し、両者を並べて照合します。一部の要素だけが一致していても、定義の核となる条件が欠けていれば別の概念を指している可能性があります。

確認ポイント

• その用語の定義を、自分の言葉で一文にして説明できるか
• 定義を構成する要素のうち、核となる条件がどれかを意識できているか
• 事例の記述から、その核となる条件が満たされていると読み取れるか

正解

イ

解説

シャドーITとは、IT部門など組織の正式な許可や管理を受けずに、従業員や部門が業務で利用するデバイスやクラウドサービスを指します。

理由

シャドーITは、組織のIT部門が公式に許可・管理していないITを、従業員や部門が業務に利用する状態です。したがって、未承認のデバイスやクラウドサービスを業務利用していると説明するイが該当する。

比較

アはITによって環境負荷を低減する取組み、ウは物陰から画面やキー入力を盗み見る行為、エは攻撃準備のために対象の情報を集める行為です。いずれも、未承認のITを業務利用するというシャドーITの定義とは異なる。

選択肢ア

これは不正解だよ。IT製品やITを活用して地球環境への負荷を低減する取組みを述べている。これは環境対策に関する内容であり、IT部門の公式な許可を得ないデバイスやクラウドサービスの業務利用を表すシャドーITとは異なる。

選択肢イ（正解）

これは正解だよ。IT部門の公式な許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービスを述べている。組織の正式な管理や承認を受けないITの業務利用という、シャドーITの定義に一致する。

選択肢ウ

これは不正解だよ。攻撃対象者のディスプレイやキータイプを物陰から盗み見て情報を盗み出すことを述べている。これは利用中の画面や入力をのぞき見る行為であり、未承認のデバイスやクラウドサービスを業務利用するシャドーITではない。

選択肢エ

これは不正解だよ。ネットワーク上のコンピュータに侵入する準備として、攻撃対象の弱点を探るために個人や組織などの情報を収集することを述べている。これは攻撃前の情報収集であり、シャドーITの定義には当てはまらない。

学習のポイント

シャドーITの定義と、環境対策・盗み見・情報収集との違いを整理する。