情報セキュリティの脅威とは？脆弱性・リスクとの区別
ITパスポート試験 令和7年度 問93 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
情報セキュリティにおける脅威の説明として，適切なものはどれか。
- ア
攻撃者が付け込むことのできる情報システムの弱点
- イ
情報資産が被害に遭う確率と被害規模の組合せ
- ウ
情報資産に損害を与える原因となるもの
- エ
情報システムの弱点を利用した攻撃によって被害を受ける可能性
会話形式の解説
講師今回は情報セキュリティの基本用語の問題です。「脅威」「脆弱性」「リスク」という3つの言葉を区別できるかが問われています。選択肢がそれぞれどの用語の説明なのかを見ていきましょう。
受験者3つとも危ないことを表す言葉なので、私は同じような意味だと思っていました。どこで見分ければよいのですか。
講師注目するのは、その文が「原因」「弱点」「可能性」のどれを述べているかです。脅威は損害の原因、脆弱性は付け込まれる弱点、リスクは被害が起こる可能性や確率と被害の大きさの組合せ、と整理できます。
受験者そうすると、「攻撃者が付け込むことのできる情報システムの弱点」という選択肢は、弱点なので脆弱性の説明ですね。
講師そのとおりです。JIS Q 27000という用語の規格でも、脆弱性は脅威に付け込まれる可能性のある資産や管理策の弱点とされています。脅威は、その弱点を突く側にあたります。
受験者「被害に遭う確率と被害規模の組合せ」は、確率が入っているのでリスクでしょうか。
講師はい。確率と被害規模を組み合わせるのはリスクの大きさを考えるときの見方で、これはリスクの説明です。脅威そのものではありません。
受験者迷うのは「弱点を利用した攻撃によって被害を受ける可能性」です。弱点も攻撃も出てくるので、脅威の説明にも見えてしまいます。
講師そこが引っかけです。文の中心は「被害を受ける可能性」の部分ですね。脅威が脆弱性に付け込んだ結果として損害が起こる見込みを述べているので、これもリスクの説明になります。
受験者文末が何を指しているかを見ればよいのですね。残る「情報資産に損害を与える原因となるもの」が、原因を述べているので脅威ということですか。
講師正解です。情報資産、つまり守るべき情報やシステムに損害を与える原因となるものが脅威です。不正アクセスやマルウェアだけでなく、地震や火災などの自然災害、操作ミスのような人的ミスも含まれます。
受験者脅威は攻撃者のことだけだと思っていたので、災害やミスも入るのは意外でした。
講師そこは思い込みやすい点です。あわせて、脆弱性の例としてソフトウェアのバグ、設定ミス、推測しやすいパスワードなども覚えておきましょう。リスクの大きさは、資産・脅威・脆弱性の掛け合わせで考えることもあります。
まとめ
情報セキュリティの「脅威」とは、情報資産に損害を与える原因となるものです。攻撃者が付け込める弱点は「脆弱性」、被害が起こる確率と被害の大きさの組合せや被害を受ける可能性は「リスク」の説明です。選択肢に「弱点」「攻撃」といった似た語が並んでいるときは、その文が「原因」「弱点」「可能性」のどれを述べているかで見分けられます。脅威には不正アクセスやマルウェアだけでなく、自然災害や人的ミスも含まれます。
解答・解説
正解はウです
この問題のテーマ
情報セキュリティの基本用語である「脅威」「脆弱性」「リスク」を区別できるかを問う問題です。
解き方の考え方
まず4つの選択肢が、それぞれ脅威・脆弱性・リスクのどれを説明しているかを分けます。「弱点」は脆弱性、「確率」や「可能性」と被害の大きさを含む表現はリスクです。損害の「原因」そのものを指している記述が脅威にあたります。
選択肢ごとの解説
- ×ア 攻撃者が付け込むことのできる情報システムの弱点攻撃者が付け込める「情報システムの弱点」という説明は、脆弱性のことです。JIS Q 27000でも、脆弱性は脅威に付け込まれる可能性のある資産や管理策の弱点とされています。脅威はその弱点を突く側にあたります。
- ×イ 情報資産が被害に遭う確率と被害規模の組合せ被害に遭う確率と被害規模を組み合わせたものは、リスクの説明です。JIS Q 27000では、この組合せでリスクの大きさ（リスクレベル）を表します。
- ○ウ 情報資産に損害を与える原因となるもの情報資産に損害を与える「原因となるもの」という説明は、脅威の定義に合っています。脅威には不正アクセスやマルウェアだけでなく、自然災害や人的ミスも含まれます。
- ×エ 情報システムの弱点を利用した攻撃によって被害を受ける可能性弱点を突いた攻撃で「被害を受ける可能性」は、脅威が脆弱性に付け込んだ結果として損害が起こる見込みのことなので、リスクの説明です。弱点や攻撃という語が出てきますが、問われているのは「可能性」の部分です。
補足
脅威は攻撃者のような人だけを指すと思い込みやすいのですが、地震や火災などの災害、操作ミスといった意図しない原因も脅威に含まれます。選択肢に「弱点」「攻撃」などの似た語が並んでいるときは、その文が「原因」「弱点」「可能性」のどれを述べているかに注目すると区別しやすくなります。
POINT
- 脅威は、情報資産に損害を与える原因となるものです。
- 脆弱性は、脅威に付け込まれる情報システムや管理策の弱点で、ソフトウェアのバグ、設定ミス、推測しやすいパスワードなどがあります。
- リスクは、被害が起こる確率（可能性）と被害の大きさの組合せで表されます。
- リスクの大きさは、資産・脅威・脆弱性の掛け合わせで考えることがあります。