問89
頻出度★★★
情報セキュリティに関する次の記述中の a, b に入れる字句の適切な組合せはどれか。 守るべき情報資産に対して望ましくない影響を及ぼす可能性のある原因のことを a といい, 情報資産自身の価値を損なう可能性をもつ弱点のことを b という。
令和8年度 ITパスポート試験 問89
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 89
不正解ア
「インシデント」は脅威が脆弱性を突いて実際に発生してしまった事象(出来事)であり、損失を及ぼす「原因」そのものではないので a に当てはまらない。また b の「リスク」は損失が生じる可能性を指し、情報資産自身の「弱点」を表す語ではない。定義がずれている。
- イ
正解 正解はイ。設問は a を「守るべき情報資産に望ましくない影響を及ぼす可能性のある原因」、b を「情報資産自身の価値を損なう可能性をもつ弱点」と定義している。情報セキュリティでは、外部からの攻撃・災害・人的ミスなど損失を引き起こす原因を「脅威」と呼ぶので a は「脅威」。一方、その脅威につけ込まれる管理・技術・設計上の欠陥(=弱点)を「脆弱性」と呼ぶので b は「脆弱性」。よって a:脅威 b:脆弱性 の組合せが正しく、イが正解となる。なお脅威が脆弱性を突くことで損失が生じる可能性が「リスク」であり、三者の関係は「リスク=脅威×脆弱性」と整理できる。
不正解ウ
本来 b に入る「脆弱性」が a に置かれている。「脆弱性」は弱点を意味するため b の定義に当たり、a(原因)には不適。さらに b に置かれた「インシデント」は発生した事象であって「弱点」ではないため、両方とも当てはまらない。
不正解エ
「リスク」は損失が生じる可能性を表す概念であり、影響を及ぼす「原因」そのものではないので a に当てはまらない。また b の「脅威」は原因(=a に入る語)であって、情報資産自身の「弱点」を指す語ではないため b にも不適。
ここがポイント
- 脅威=損失を引き起こす原因、脆弱性=つけ込まれる弱点、リスク=脅威が脆弱性を突いて損失が生じる可能性、という三つの用語の定義と違いを区別できること。
- 情報セキュリティの基本関係「リスク=脅威×脆弱性」を押さえること。
用語