脅威・脆弱性・リスク・インシデントはどう区別する？
ITパスポート試験 令和8年度 問89 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
情報セキュリティに関する次の記述中のa，bに入れる字句の適切な組合せはどれか。 守るべき情報資産に対して望ましくない影響を及ぼす可能性のある原因のことをaといい，情報資産自身の価値を損なう可能性をもつ弱点のことをbという。
- ア
a：インシデント、b：リスク
- イ
a：脅威、b：脆弱性
- ウ
a：脆弱性、b：インシデント
- エ
a：リスク、b：脅威
会話形式の解説
講師今回は情報セキュリティの基本用語を区別する問題です。空欄aとbには、それぞれ定義の文がついています。aでは「原因」、bでは「弱点」という言葉に注目してください。
受験者選択肢に出てくる4つの語は、どれもセキュリティでよく聞く言葉なので迷います。特にリスクとインシデントは、カタカナなので意味の違いがはっきりしません。
講師では1語ずつ確かめましょう。まずaは「望ましくない影響を及ぼす可能性のある原因」です。情報資産に被害を引き起こし得る原因や要因を表す語はどれだと思いますか。
受験者被害を起こす原因なので、脅威でしょうか。リスクも「危ないもの」という印象があるので、少し迷いました。
講師脅威で合っています。リスクは、損害が生じる可能性と、その影響の大きさの両方にかかわる概念です。被害の原因そのものを指す語ではありません。なので、aをリスクとする組合せは外れます。
受験者次にbは「情報資産自身の価値を損なう可能性をもつ弱点」なので、脆弱性ですね。資産の側にある弱点、という意味だと理解しました。
講師そのとおりです。脆弱性は、情報資産やシステムの側にある弱点のことです。逆にaを脆弱性とする組合せは、原因と弱点を取り違えています。脆弱性は被害を起こす側ではなく、資産の側にあるものです。
受験者インシデントはどう考えればよいですか。aの「原因」にもbの「弱点」にも当てはまりそうに見えてしまいます。
講師インシデントは、実際に発生したセキュリティ上の事故や事象を指します。すでに起きた出来事なので、原因の意味にも弱点の意味にもなりません。aをインシデント、bをリスクとする組合せや、bをインシデントとする組合せは誤りです。
受験者まとめると、原因が脅威、弱点が脆弱性、可能性と影響の大きさがリスク、実際に起きた事故がインシデントですね。なので、aが脅威でbが脆弱性の組合せが正解です。
講師よく整理できています。関係で言うと、脅威が脆弱性を突くことで被害が生じ得ます。脅威があっても突かれる脆弱性がなければ被害は生じにくい、という関係も押さえておくと応用が利きます。
講師リスクは脅威や脆弱性そのものではなく、それらによって損害が生じる可能性や影響の大きさを考える概念です。リスクを脅威や弱点と取り違えないよう注意しましょう。
まとめ
この問題は、情報セキュリティの基本用語である脅威・脆弱性・リスク・インシデントを区別できるかを問うものです。情報資産に望ましくない影響を及ぼす可能性のある「原因」が脅威、情報資産自身がもつ「弱点」が脆弱性で、この組合せが正解です。リスクは損害が生じる可能性とその影響の大きさにかかわる概念で、インシデントは実際に発生したセキュリティ上の事故や事象を指します。脅威が脆弱性を突くことで被害が生じ得る、という関係で覚えると取り違えにくくなります。
解答・解説
正解はイです
この問題のテーマ
情報セキュリティの基本用語のうち、「脅威」「脆弱性」「リスク」「インシデント」を正しく区別できるかを問う問題です。
解き方の考え方
空欄に入る用語は、それぞれの定義の言葉から判断します。aは「望ましくない影響を及ぼす可能性のある原因」、bは「情報資産自身の…弱点」と説明されています。被害を引き起こす原因が外側にあるのか、情報資産そのものにある弱点なのかに注目すると、aは脅威、bは脆弱性と決まります。この2語の組合せになっている選択肢を選べば正解にたどり着けます。
選択肢ごとの解説
- ×ア a：インシデント、b：リスクaをインシデント、bをリスクとする組合せは誤りです。インシデントは実際に起きたセキュリティ上の事故や事象を指し、被害の原因を表す語ではありません。リスクは損害が生じる可能性とその影響の大きさにかかわる概念で、弱点そのものを指す語でもありません。
- ○イ a：脅威、b：脆弱性aを脅威、bを脆弱性とする組合せが正解です。脅威は情報資産に被害を引き起こし得る原因、脆弱性は情報資産やシステムがもつ弱点を指し、どちらも問題文の説明に合っています。
- ×ウ a：脆弱性、b：インシデントaを脆弱性、bをインシデントとする組合せは誤りです。脆弱性は被害を起こす原因の側ではなく、資産の側にある弱点を指します。インシデントも事故や事象のことで、弱点を表す語ではありません。
- ×エ a：リスク、b：脅威aをリスク、bを脅威とする組合せは誤りです。リスクは損害が生じる可能性と影響の大きさにかかわる概念で、被害の原因そのものではありません。脅威は被害につながる要因であり、弱点を指す語ではありません。
補足
「原因」とあれば脅威、「弱点」とあれば脆弱性と考えると、用語を取り違えにくくなります。引っかけとして、リスクを脅威や弱点と同じ意味で使った選択肢がよく出ます。リスクは脅威や脆弱性そのものではなく、それらによって損害が生じる可能性や影響の大きさを考える概念です。脅威があっても突かれる脆弱性がなければ被害は生じにくい、という関係も押さえておくと応用が利きます。
POINT
- 脅威は、情報資産に被害を引き起こし得る原因や要因のことです。
- 脆弱性は、情報資産やシステムの側にある弱点のことです。
- 脅威が脆弱性を突くことで、被害が生じ得ます。
- リスクは、損害が生じる可能性と、その影響の大きさの両方にかかわる概念です。
- インシデントは、実際に発生したセキュリティ上の事故や事象を指します。