ITパスポート 2017年 春期 問60

情報セキュリティにおける脅威と脆弱性のうち、脆弱性に該当するものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 用語をはっきりさせる
   • 脆弱性 = システム・運用・人の「弱点」や欠陥。
   • 脅威 = その弱点を突く「攻撃」や危険な出来事、人（攻撃者）など。
2. 各選択肢が「弱点（脆弱性）」か「攻撃（脅威）」かを判別する。
3. 「弱点」に当たるものを選ぶ。
   • 攻撃方法や悪意ある行為は脅威。運用ミスや設定の不備は脆弱性。
4. 正解が エ であることを確認する。

選択肢別の誤答解説

• ア: コンピュータウイルス
  • 解説：コンピュータウイルスはマルウェア（malware：悪意のあるソフトウェア）の一種で、実際に被害を与える「攻撃手段」または「脅威」です。脆弱性ではありません。
• イ: ソーシャルエンジニアリング（social engineering：人の心理を突いた攻撃手法）
  • 解説：これは人の信頼やミスを利用して情報を盗む「攻撃方法」です。脅威に該当します。人の行動が弱点になることはありますが、手法そのものは脅威です。
• ウ: 通信データの盗聴（eavesdropping：通信の覗き見）
  • 解説：通信を盗み見る行為は「脅威（攻撃）」です。盗聴を可能にする脆弱性（暗号化がない等）がある場合に被害が起きますが、選択肢自体は攻撃です。
• エ: 不適切なパスワード管理
  • 解説：パスワードの使い回し、短すぎるパスワード、適切に保管されていないなどは「弱点」です。これがあると攻撃（ウイルス、盗聴、クラッキングなど）が成功しやすくなるため脆弱性です。

よくある誤解

1. 「攻撃＝脆弱性」と考える誤解
   • 例えばウイルスは「弱点」ではなく「攻撃ツール」です。違いを混同しないことが重要です。
2. 「人のミスは脆弱性ではない」と思う誤解
   • 人の不注意（パスワードを書いたままにする、怪しい添付ファイルを開くなど）は立派な脆弱性です。運用や教育で対策できます。
3. 「脆弱性はソフトだけの問題」と考える誤解
   • 設定ミス、運用ルール、人的行動も脆弱性になります。範囲は広いです。

補足コラム

• 脆弱性・脅威・リスクの関係：
  • 脆弱性（弱点） × 脅威（攻撃や危険） = リスク（被害が発生する可能性や損失の大きさ）。
  • 例：窓に鍵がない（脆弱性） × 泥棒がいる（脅威） = 家が盗まれるリスク。
• 不適切なパスワード管理への基本対策：
  • 長くて推測されにくいパスワード（例：12文字以上のフレーズ）。
  • サイトごとに異なるパスワードを使う（使い回し禁止）。
  • パスワードマネージャ（password manager：パスワードを安全に管理するソフト）を利用する。
  • 多要素認証（MFA：Multi-Factor Authentication、例：パスワード＋スマホの確認コード）を有効にする。
• 覚え方：脆弱性は「守りの穴」。攻撃（脅威）は「攻めてくるもの」。

FAQ