問96
頻出度★★★
情報セキュリティにおけるリスクマネジメントに関して，次の記述中のa～cに入れる字句の適切な組合せはどれか。 情報セキュリティにおいて，組織がもつ情報資産の [ a ] を突く [ b ] によって，組織が損害を被る可能性のことを [ c ] という。
平成28年度 秋期 ITパスポート試験 問96
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 96
不正解ア
a:脅威 b:リスク c:脆弱性。脅威は脆弱性を「突く」側であって突かれる対象ではないので a に脅威は不適切。b の「リスク」も損害を引き起こす行為・要因ではない。c の「損害を被る可能性」は脆弱性ではなくリスクを指す。三語すべて配置が誤り。
- イ
正解 空欄は「情報資産の [ a ] を突く [ b ] によって、組織が損害を被る可能性のことを [ c ] という」。a は「突く（悪用される）」対象なので、情報資産がもつ弱点＝「脆弱性」。b はその脆弱性を突いて損害を引き起こす要因＝「脅威」。c は損害を被る可能性そのもの＝「リスク」。したがって a:脆弱性 b:脅威 c:リスク の組合せとなり、正解はイ。脅威が脆弱性を突いてはじめてリスクが顕在化する、という三者の関係が要点。
不正解ウ
a:リスク b:脅威 c:脆弱性。b の「脅威」は正しいが、a は「突かれる弱点」なのでリスクではなく脆弱性でなければならない。c の「組織が損害を被る可能性」は脆弱性ではなくリスクの定義であり、a と c が入れ替わっている。
不正解エ
a:リスク b:脆弱性 c:脅威。a は突かれる対象の脆弱性であるべきでリスクは不適切。b は脆弱性を突く側＝脅威であるべきで、脆弱性は突かれる対象なので不適切。c の「損害を被る可能性」は脅威ではなくリスク。三語すべて役割が食い違っている。
ここがポイント
- 脆弱性・脅威・リスクの関係: 情報資産の「脆弱性（弱点）」を「脅威（損害を引き起こす要因）」が突くことで、組織が損害を被る可能性＝「リスク」が生じる。
- 用語定義: 脆弱性＝情報資産に内在する弱点、脅威＝その弱点を突いて損害をもたらす要因・事象、リスク＝損害発生の可能性。
用語