問67
頻出度★★★
情報資産に対するリスクは, 脅威と脆弱性を基に評価する。脅威に該当するものはどれか。
平成30年度 秋期 ITパスポート試験 問67
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 67
错误ア
“不加密的通信”是会被窃听这一威胁所利用的管理上的弱点，属于脆弱性而非威胁。
错误イ
“机密文件处理方法不统一”是可能招致信息泄露的运营管理上的缺陷（弱点），属于脆弱性而非威胁。
错误ウ
“无法上锁的门”是会被非法入侵这一威胁所利用的物理性弱点，属于脆弱性而非威胁。
- エ
正解 选エ。威胁是指可能对信息资产造成损害的原因或事件（不论来自外部还是内部）。“雷击等导致的意外停电”发生在组织外部，本身就是威胁信息资产（系统、数据）可用性的事件，正好属于威胁。威胁的存在与“是否存在弱点”无关；当该威胁利用了脆弱性（弱点）时，风险才会显现——两者是这样的关系。
ここがポイント
- 威胁（threat）＝可能对信息资产造成损害的原因或事件（不论外部还是内部）；脆弱性（vulnerability）＝会被威胁利用的内在弱点。将两者结合来评估风险。
- 凡是“无法……”“……不足、不统一”这类描述弱点的说法属于脆弱性；利用弱点对资产造成损害的事件或行为（停电、灾害、攻击、内部人员的违规或误操作等）属于威胁——按此区分。
用語