問96
頻出度★★★
情報セキュリティにおけるリスクマネジメントに関して，次の記述中のa～cに入れる字句の適切な組合せはどれか。 情報セキュリティにおいて，組織がもつ情報資産の [ a ] を突く [ b ] によって，組織が損害を被る可能性のことを [ c ] という。
平成28年度 秋期 ITパスポート試験 問96
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 96
错误ア
a:威胁 b:风险 c:脆弱性。威胁是「利用」脆弱性的一方，而不是被利用的对象，所以 a 填威胁不合适。b 的「风险」也不是引发损失的行为或因素。c 的「蒙受损失的可能性」指的是风险而非脆弱性。三个词的位置全部放错。
- イ
正解 空缺处为「利用信息资产的 [ a ] 的 [ b ]，使组织可能蒙受损失，这种可能性称为 [ c ]」。a 是被「利用（被钻空子）」的对象，所以是信息资产所具有的弱点＝「脆弱性」。b 是利用该脆弱性、引发损失的因素＝「威胁」。c 是蒙受损失的可能性本身＝「风险」。因此组合为 a:脆弱性 b:威胁 c:风险，正确答案是イ。只有当威胁利用脆弱性时风险才会显现，这三者的关系是要点。
错误ウ
a:风险 b:威胁 c:脆弱性。b 的「威胁」是对的，但 a 是「被利用的弱点」，所以应当是脆弱性而非风险。c 的「组织蒙受损失的可能性」是风险的定义而非脆弱性，a 与 c 互相调换了。
错误エ
a:风险 b:脆弱性 c:威胁。a 应当是被利用的对象即脆弱性，填风险不合适。b 应当是利用脆弱性的一方＝威胁，而脆弱性是被利用的对象，所以不合适。c 的「蒙受损失的可能性」是风险而非威胁。三个词的角色全部错位。
ここがポイント
- 脆弱性、威胁、风险的关系：当「威胁（引发损失的因素）」利用信息资产的「脆弱性（弱点）」时，就会产生组织蒙受损失的可能性＝「风险」。
- 术语定义：脆弱性＝信息资产内在的弱点；威胁＝利用该弱点带来损失的因素或事件；风险＝发生损失的可能性。
用語