ITパスポート 2018年 秋期 問67

情報資産に対するリスクは、脅威と脆弱性を基に評価する。脅威に該当するものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 用語を整理する
   • 脅威（Threat）: 情報資産に損害を与える可能性のある出来事や原因（例：自然災害、犯罪、人的ミス）。
   • 脆弱性（Vulnerability）: その出来事により被害が生じやすくする弱点や不備（例：鍵がない、手順が不備）。
2. 選択肢に対して「それ自体が出来事・原因か」「それは弱点・不備か」を判定する。
   • 出来事や原因であれば「脅威」。
   • 仕組みや状態（弱点）であれば「脆弱性」。
3. 各選択肢を当てはめる
   • 落雷＝外的な出来事 → 脅威（正解）。
   • 暗号化しない通信・取扱不統一・施錠できないドア＝守りの欠如や運用の問題 → 脆弱性（不正解）。

選択肢別の誤答解説

• ア: 暗号化しない通信
  → これは「脆弱性」です。暗号化（データを読み取れない形にする仕組み）をしていないため、通信が盗聴された場合に情報が漏えいしやすくなります。暗号化しないという状態は弱点です。
• イ: 機密文書の取扱方法の不統一
  → これも「脆弱性」です。ルールや手順が整っていないと、誤って重要情報が外部に出たり、紛失したりするリスクが高まります。運用上の不備は弱点です。
• ウ: 施錠できないドア
  → これも「脆弱性」です。物理的に建物や部屋を保護できない状態は、侵入や盗難のリスクを高める弱点です。
• エ: 落雷などによる予期しない停電
  → 自然現象という「出来事・原因」そのものです。これが発生するとシステム停止やデータ損失などの影響が生じるため、脅威に該当します。

よくある誤解

1. 「脅威＝人が攻撃するもの」と考える誤解
   → 脅威には自然災害（地震・落雷）、人的ミス、内部・外部の攻撃などが含まれます。人だけが脅威ではありません。
2. 「弱点（脆弱性）＝被害そのもの」と混同する誤解
   → 脆弱性は被害を招く可能性を高める状態です。脅威がなければ脆弱性があっても直ちに被害が発生するとは限りません（ただし放置は危険です）。
3. 「対策（例えば鍵をかける）は脅威」と取り違える誤解
   → 対策は脆弱性を低減する手段であり、脅威ではありません。

補足コラム

• UPS（無停電電源装置: Uninterruptible Power Supply）を導入して短時間の停電で安全にシャットダウンする。
• サージプロテクタ（雷などの過電圧を抑える装置）で機器の損傷を防ぐ。
• データの定期バックアップとオフサイト保管（別場所保存）。
• BCP（事業継続計画: Business Continuity Plan）を作り、停電時の業務継続手順を用意する。

• UPS（無停電電源装置）: 停電時に一時的に電力を供給して機器を保護する装置。
• BCP（事業継続計画）: 災害や障害発生時に事業を続けるための計画。

FAQ