問93
頻出度★★★
情報セキュリティにおける脅威の説明として, 適切なものはどれか。
令和7年度 ITパスポート試験 問93
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 93脅威(threat)=情報資産に損害を与える原因となるもの
不正解ア
『攻撃者が付け込むことのできる情報システムの弱点』は脅威ではなく『脆弱性(ぜいじゃくせい、vulnerability)』の説明。セキュリティホールや設定不備など、攻撃を受け入れてしまう内在的な弱点を指す。脅威(損害の原因)とは別概念なので誤り。
不正解イ
『情報資産が被害に遭う確率と被害規模の組合せ』は脅威ではなく『リスク(risk)』の説明。リスクは被害の発生確率と影響度(被害規模)を掛け合わせて評価する考え方であり、原因そのものである脅威とは異なるため誤り。
- ウ
正解 脅威(threat)とは、情報資産に対して損害を与える原因となるものを指す。具体的には、不正アクセス・マルウェア・盗難・地震や火災といった災害・操作ミスなど、情報資産の機密性・完全性・可用性を損なう原因そのものが脅威にあたる。選択肢ウ『情報資産に損害を与える原因となるもの』は、まさにこの脅威の定義に一致するため正しい。脅威は『脆弱性(弱点)』を突いて顕在化し、結果として『リスク(損害の可能性)』を生む、という三者の関係を押さえておくとよい。
不正解エ
『情報システムの弱点を利用した攻撃によって被害を受ける可能性』も脅威ではなく『リスク(被害を受ける可能性)』の説明に近い。脅威(原因)が脆弱性(弱点)を突くことで生じる『損害の可能性』を述べており、脅威そのものの定義ではないため誤り。
ここがポイント
- 脅威(threat)=情報資産に損害を与える原因となるもの。脆弱性(vulnerability)=攻撃者に付け込まれる弱点。リスク(risk)=脅威が脆弱性を突いて被害を受ける可能性(確率×影響度)。この三つの用語の違いを明確に区別する。
- リスク=脅威×脆弱性 の関係を意識すると、原因(脅威)・弱点(脆弱性)・結果の可能性(リスク)が整理でき、選択肢を取り違えにくくなる。
用語