部員が会社の承認を得ずに、個人で契約した外部のファイル共有サービスで取引先と資料を やり取りしていた。部員は「認証を取得した安全なサービスだ」と説明している。 情報セキュリティ担当者がこの利用を脆弱性として扱う理由として、最も適切なものはどれか。

正解：ウ

各選択肢の解説

1. ア外部のクラウドサービスは、社内のサーバに比べて安全性が必ず低いから。

   誤り。置き場所が社外かどうかで安全性が決まるわけではありません。会社が承認した クラウドサービスなら、同じ社外でも脆弱性とは扱いません。問題は場所ではなく、 会社の管理が及んでいるかどうかです。

2. イ認証を取得したサービスにも、未修正のセキュリティホールが必ず残るから。

   誤り。これはセキュリティホール（ソフトウェアの欠陥）の話です。あるとしても 承認済みのサービスにも同じく言えることで、「承認を得ていない」ことが弱点になる 理由の説明になっていません。「必ず残る」という断定も根拠がありません。

3. ウ共有範囲や利用者の追加・削除、退職時の停止を、会社が把握も管理もできないから。

   正解。シャドーITの弱点は、サービスの性能ではなく会社の目が届かないことです。 誰に何を共有したか、辞めた人が使い続けていないかを、会社が確かめられません。

4. エ社内規則に反する利用であり、悪意のある内部不正に当たるから。

   誤り。シャドーITは悪意の有無を問いません。多くは業務を早く進めたいという善意から 起きます。悪意をもって権限を目的外に使う内部不正とは別のもので、規則違反である ことと、それが弱点になる理由も分けて考えます。

理解を深めるために