問93
頻出度★★★
情報セキュリティにおける脅威の説明として, 適切なものはどれか。
令和7年度 ITパスポート試験 問93
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 93
错误ア
“攻击者可以利用的信息系统的弱点”不是威胁，而是对“漏洞（vulnerability）”的说明。它指安全漏洞、配置不当等会让系统遭受攻击的内在弱点。这与威胁（损害的根源）是不同的概念，因此错误。
错误イ
“信息资产遭受损害的概率与损害规模的组合”不是威胁，而是对“风险（risk）”的说明。风险是把损害发生的概率与影响程度（损害规模）相乘来评估的概念，与作为根源本身的威胁不同，因此错误。
- ウ
正解 威胁（threat）是指可能对信息资产造成损害的根源。具体来说，非法访问、恶意软件、盗窃、地震或火灾等灾害、操作失误等，凡是会损害信息资产机密性、完整性、可用性的根源本身，都属于威胁。选项ウ“可能对信息资产造成损害的根源”正好与威胁的这一定义相符，因此正确。可以记住三者的关系：威胁通过利用“漏洞（弱点）”而显现，进而产生“风险（遭受损害的可能性）”。
错误エ
“利用信息系统的弱点进行攻击而遭受损害的可能性”也不是威胁，而更接近对“风险（遭受损害的可能性）”的说明。它描述的是威胁（根源）利用漏洞（弱点）而产生的“损害的可能性”，并非威胁本身的定义，因此错误。
ここがポイント
- 威胁（threat）＝可能对信息资产造成损害的根源；漏洞（vulnerability）＝会被攻击者利用的弱点；风险（risk）＝威胁利用漏洞而遭受损害的可能性（概率×影响）。要明确区分这三个术语的差异。
- 记住“风险＝威胁×漏洞”的关系，就能把根源（威胁）、弱点（漏洞）、结果的可能性（风险）梳理清楚，从而不容易混淆选项。
用語