平成30年度秋期 ITパスポート試験問67

この問題の解説と、これまでの解答の記録です。

問67

頻出度★★★

情報資産に対するリスクは, 脅威と脆弱性を基に評価する。脅威に該当するものはどれか。

出典　平成30年度秋期 ITパスポート試験問67

解説

問 67

不正解ア
「暗号化しない通信」は、盗聴という脅威に付け込まれる管理上の弱点であり、脅威ではなく脆弱性に該当する。
不正解イ
「機密文書の取扱方法の不統一」は、情報漏えいを招きうる運用管理上の不備 (弱点) であり、脅威ではなく脆弱性に該当する。
不正解ウ
「施錠できないドア」は、不正侵入という脅威に付け込まれる物理的な弱点であり、脅威ではなく脆弱性に該当する。
エ
正解エが正解。脅威とは、情報資産に損害を与えうる原因や事象 (外部・内部を問わない) を指す。「落雷などによる予期しない停電」は、組織の外側で発生し情報資産 (システム・データ) の可用性を脅かす事象そのものであり、まさに脅威に該当する。脅威は「弱点があるかどうか」とは独立に存在し、その脅威が脆弱性 (弱点) に付け込むことでリスクが顕在化する、という関係になる。

ここがポイント

脅威 (threat) = 情報資産に損害を与えうる原因・事象 (外部・内部を問わない)、脆弱性 (vulnerability) = 脅威に付け込まれる内在的な弱点。両者を掛け合わせてリスクを評価する。
「〜できない」「〜が不十分・不統一」といった弱点の記述は脆弱性、弱点に付け込んで資産に損害を起こす事象・行為 (停電・災害・攻撃・内部者の不正や誤操作など) が脅威、と切り分ける。

用語

解答問67エ