情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問09

脅威と脆弱性の関係【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 用語をはっきりさせる
   • 脅威（threat）：何か悪いことが起きる原因になりうるもの（例：不正アクセス、自然災害、人為ミス）。
   • 脆弱性（vulnerability）：それが起きたときに被害を受けやすい弱点（例：未更新のソフト、施錠していないサーバ室）。
2. リスクの評価原理を思い出す
   • リスクは「脅威の発生確率 × 脆弱性の存在 × 影響度」で判断するイメージ。脅威がゼロに近ければリスクは小さい。
3. 各選択肢を照らし合わせる
   • 脅威がない場合の脆弱性対処の必要性について、妥当かどうかを判断する。
4. 結論を得る
   • 以上より、イが正しいと判断する。

選択肢別の誤答解説

• ア: 「管理策の欠如によって脅威が高まり、脆弱性の深刻度が低くなる。」
  → 誤り。管理策（コントロール）が欠如すると脆弱性はむしろ深刻化します。管理策は脆弱性を低減するためのものなので、欠如は脆弱性を大きくします。
• イ: 「脅威が存在しないと判断できる場合、脆弱性に対処する必要性は低い。」
  → 正しい。ただし「存在しないと判断できる」根拠を持ち、定期的に見直すことが前提です。完全ゼロを保証するのは現実的でないため、リスク評価としての優先度判断という意味で正答になります。
• ウ: 「脅威のうち、脆弱性によってリスクが顕在化するのは環境的脅威である。」
  → 誤り。脅威には人為的（内部不正・外部攻撃）、技術的（ソフトの欠陥）、環境的（火災・停電）などがあり、どの種類でも脆弱性があればリスクは顕在化し得ます。限定する根拠はありません。
• エ: 「脆弱性の有無にかかわらず、事故の発生確率は脅威の大きさで決まる。」
  → 誤り。事故発生確率は脅威の発生可能性だけでなく、脆弱性の存在にも左右されます。脆弱性が無ければ脅威があっても被害が出ない場合があります（例：施錠された金庫に入っている重要書類）。

よくある誤解

• 脅威がゼロなら対策は不要だ：脅威が「今は」観測されない場合でも、将来の変化で脅威が現れる可能性があるため、完全放置は危険です。定期的なリスクレビューが必要です。
• 脆弱性＝即リスク：脆弱性があっても脅威が無ければすぐに大きな被害にならないことがあります。優先順位付けが重要です。
• 脅威は常に外部から来る：内部ミスや設定漏れなど、組織内部にも脅威は存在します。

補足コラム

FAQ