シャドー IT とは、正式な IT 部門によって許可、承認、またはサポートされていない IT システム、サービス、またはデバイスの使用を指します。シャドー IT は、組織のデータ セキュリティ、コンプライアンス、パフォーマンス、および評判に重大なリスクをもたらす可能性があります。シャドー IT の主なリスクの 1 つは、ガバナンスとセキュリティ監視が欠如していることが多いことです。つまり、シャドー IT 機能は、データ保護、アクセス制御、暗号化、バックアップ、パッチ適用、監査、レポートなど、IT 管理に関する確立されたポリシー、標準、およびベスト プラクティスに従わない可能性があります。これにより、組織は、データ侵害、サイバー攻撃、マルウェア感染、法的責任、規制上の罰金、および評判の低下など、さまざまな脅威にさらされる可能性があります。さらに、シャドー IT は、運用の非効率性、互換性の問題、作業の重複、および組織のコスト増加を引き起こす可能性があります。
search_web ツールの Web 検索結果によると、シャドー IT は多くの組織で一般的かつ増加傾向にある現象であり、特にクラウドベースのサービスやアプリケーションの急増により顕著になっています。記事の中には、シャドー IT のリスクを管理および軽減するための次のベスト プラクティスを提案しているものもあります 123。
* シャドーITを積極的に検出するためのSaaS評価の実施
* ユーザーエクスペリエンス（UX）を優先し、ツール統合のサポートを提供する
* ユーザーアカウントとID管理の合理化
* 従業員が使い慣れているオペレーティングシステムとデバイスを使用する
* ユーザーと妥協し、協力してシャドーITのリスクを最小限に抑える
* シャドーITのセキュリティリスクと影響についてユーザーを教育し、トレーニングする
* ITの調達と使用に関する明確なポリシーとガイドラインを確立する
* IT 部門とビジネス部門の間に信頼と透明性の文化を築く したがって、質問に対する検証済みの答えは B です。「シャドー IT」機能には、ガバナンスとセキュリティ監視が欠けていることがよくあります。
参考文献:
* シャドー IT の説明: リスクと機会 - BMC ソフトウェア
* 3つのステップで組織のシャドーITリスクを軽減しましょう
* シャドー IT とは? - 記事 | SailPoint

これらの対策は、組織のセキュリティ プロトコルに従って、デバイスを不正アクセスから保護し、データが保護された状態を保つために不可欠です。

データの返却または破棄の条件は、契約交渉中に定義および合意する必要があります。これは、組織と第三者が、データの取り扱いを含め、関係における期待、義務、責任を確立する段階だからです。Shared Assessments CTPRP 学習ガイドによると、契約交渉とは、「組織と第三者が、作業範囲、サービス レベル契約、パフォーマンス測定、報告要件、コンプライアンス義務、セキュリティおよびプライバシー管理、インシデント対応手順、紛争解決メカニズム、解約権、その他の関連する契約条件など、両当事者の期待と責任を明確に定義する契約を交渉および締結する」段階です。1 対処すべき重要な契約条件の 1 つは、データの返却または破棄です。これは、関係の終了時または要求時に、第三者が組織のデータを安全かつタイムリーに返却または処分する方法を指定します。この条件は、組織のデータ保護、機密性、コンプライアンスを確保し、第三者または権限のない当事者によるデータ侵害、漏洩、または不正使用のリスクを軽減するために重要です。
TPRM ライフサイクルの他のフェーズは、データの返却または破棄の条件を定義して合意するための最適な選択肢ではありません。その理由は次のとおりです。
* B. サードパーティの選択と初期デューデリジェンス: これは、組織がニーズ、目的、リスク許容度に最も適したサードパーティを特定、評価、選択するフェーズです。このフェーズでは、サードパーティの能力、資格、評判、パフォーマンス、セキュリティ、コンプライアンスに関するデューデリジェンスを実施し、関係に内在するリスクを評価します。このフェーズは適切なサードパーティを選別して選択するために重要ですが、通常は契約交渉フェーズで行われる、データの返却や破棄など、関係の具体的な条件の定義や合意は含まれません。
* C. 継続的な監視を展開する場合: これは、組織がサードパーティのパフォーマンス、サービス提供、リスク管理、コンプライアンスを定期的に監視およびレビューし、関係中に発生する可能性のある問題、ギャップ、または変更を特定して対処するフェーズです。このフェーズでは、レポート、監査、評価、調査、フィードバック、インシデント、メトリックなど、さまざまなソースからデータと情報を収集して分析するほか、サードパーティとコミュニケーションを取り、協力して整合性と改善を確保します。このフェーズは関係の品質とセキュリティを確保するために重要ですが、データの返却や破棄など、通常は契約交渉フェーズで行われる関係の条件の定義と合意は含まれません。
* D. 終了および退出時: これは、組織が相互合意、契約満了、契約違反、またはその他の理由により、第三者との関係を終了および退出する段階です。この段階では、終了および退出計画の実行が含まれ、これには、第三者への通知が含まれる場合があります。
* 第三者へのサービスの提供または中止、金銭的義務の清算、データの返却または破棄、アクセス権の取り消し、および終了後のレビューの実施。このフェーズは、関係の円滑で安全な移行と終了を確実にするために重要ですが、通常は契約交渉フェーズで行われる、データの返却や破棄などの関係の条件の定義と合意は含まれません。
参考文献:
* 1: 共有評価 CTPRP 学習ガイド、59 ページ、セクション 5.1: TPRM ライフサイクル
* : サードパーティリスク管理: ベンダー契約条件、セクション: データの所有権、返却および破棄
* : [サードパーティリスク管理: サードパーティエコシステム: 利益を維持しながらリスクを管理する方法]、セクション: 契約交渉
* : [サードパーティリスク管理: サードパーティエコシステム: 利益を維持しながらリスクを管理する方法]、セクション: 終了と終了

EOL を判定するための定期的なリスク評価は、通常、IT 資産の EOL プロセスには含まれません。EOL の判定は、より一般的で EOL ステータスのみに焦点を合わせていないリスク評価ではなく、運用の有効性やその他の前述の要因に基づいて行われます。

複数のサービス プロバイダーを評価する場合、評価の優先順位付けの主な考慮事項は、コア ビジネス機能の維持に対する各プロバイダーの相対的な重要性に基づく必要があります。このアプローチにより、運用への影響という点で最も重要なサービスが優先されます。