問60
頻出度★★★
情報セキュリティにおける脅威と脆弱性のうち，脆弱性に該当するものはどれか。
平成29年度 春期 ITパスポート試験 問60
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 60
错误ア
计算机病毒是通过感染来损害信息资产的恶意程序，属于利用弱点的「威胁」一方。它本身并不是弱点，所以不是脆弱性。
错误イ
社会工程学是通过欺骗他人来套取信息的攻击手法，属于「威胁」。它虽然是利用人的脆弱性的手段，但其本身是威胁，而不是弱点。
错误ウ
窃听通信数据是非法偷看通信内容的攻击行为，属于「威胁」。它是利用弱点的行为，而不是弱点本身。
- エ
正解 脆弱性是指可能被威胁利用的弱点、缺陷。「不当的密码管理」包括使用容易被猜到的密码、重复使用同一密码、共享或放任不管等，是使用者或组织在运行管理层面内在的弱点，正是会被攻击者利用的「可乘之机」。因此选项エ属于脆弱性。
ここがポイント
- 区分威胁与脆弱性：脆弱性是系统或运行中内在的弱点、缺陷，威胁则是利用该弱点造成损害的因素（病毒、窃听、社会工程学等攻击）。
- 「不当的密码管理」是运行层面的弱点，是人为、管理性脆弱性的典型例子。关键是不要把它和攻击（威胁）混为一谈。
用語