問60
頻出度★★★
情報セキュリティにおける脅威と脆弱性のうち，脆弱性に該当するものはどれか。
平成29年度 春期 ITパスポート試験 問60
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 60
不正解ア
コンピュータウイルスは、感染して情報資産に被害を与える不正プログラムであり、弱点を突く側の「脅威」に分類される。弱点そのものではないため脆弱性ではない。
不正解イ
ソーシャルエンジニアリングは、人をだまして情報を聞き出す攻撃手法であり「脅威」に分類される。人的脆弱性につけこむ手口ではあるが、それ自体は脅威であって弱点ではない。
不正解ウ
通信データの盗聴は、通信内容を不正に盗み見る攻撃行為であり「脅威」に分類される。弱点を悪用する行為であって、弱点そのものではない。
- エ
正解 脆弱性とは、脅威につけこまれる可能性のある弱点・欠陥のことである。「不適切なパスワード管理」は、推測されやすいパスワードの使用や使い回し、共有・放置など、利用者や組織の運用側に内在する弱点であり、攻撃者に悪用される「隙」そのものだ。したがってエが脆弱性に該当する。
ここがポイント
- 脅威と脆弱性の区別: 脆弱性はシステムや運用に内在する弱点・欠陥、脅威はその弱点を突いて損害を与える要因(ウイルス・盗聴・ソーシャルエンジニアリングなどの攻撃)を指す。
- 「不適切なパスワード管理」は運用面の弱点であり、人的・管理的な脆弱性の代表例。攻撃(脅威)と混同しないことがポイント。
用語