ITパスポート 2025年 問93

問題タイトル +【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードに注目します：「脅威の説明として、適切なもの」。
2. 各選択肢の語義を短く確認します。
   • 「弱点」は脆弱性（vulnerability）を示す語。
   • 「確率と被害規模の組合せ」はリスク（risk）を示す定義に近い。
   • 「原因となるもの」は「脅威」に直結する表現。
   • 「弱点を利用した攻撃によって被害を受ける可能性」は「リスク」や「脅威が引き起こす可能性」を指す。
3. それぞれを用語の定義と照合して、最も合致する選択肢を選びます。ここでは ウ が一致します。

選択肢別の誤答解説

• ア: 攻撃者が付け込むことのできる情報システムの弱点
  • これは「脆弱性（vulnerability：弱点）」の説明です。脆弱性は脅威に対して攻撃を受けやすくするシステムの欠陥や設定ミスです。脅威そのものではありません。
• イ: 情報資産が被害に遭う確率と被害規模の組合せ
  • これは「リスク（risk：危険性）」の定義に近いです。リスクは発生確率と影響度（被害規模）の組み合わせで評価します。脅威とは別の概念です。
• ウ: 情報資産に損害を与える原因となるもの
  • 正解です。脅威は損害を引き起こす原因や出来事です。攻撃、自然現象、人的ミスなどが含まれます。
• エ: 情報システムの弱点を利用した攻撃によって被害を受ける可能性
  • これは「脆弱性（弱点）」と「攻撃（攻撃者）」が組み合わさったときに生じる「可能性」、すなわち「リスク」や「脅威が実現する確率」を表す文です。脅威そのものの定義とは異なります。

よくある誤解

1. 脅威＝攻撃者だと思い込む
   • 脅威は攻撃者（人）に限りません。自然災害や人的ミス、機器故障も脅威です。原因・出来事全般を指します。
2. リスクと脅威を同じ意味に扱う
   • リスクは「発生確率×影響度」で評価する概念です。脅威はその「原因・引き金」です。区別して考える必要があります。
3. 脆弱性と脅威を混同する
   • 脆弱性（弱点）は「悪いことが起きやすくする状態」。脅威は「悪いことを起こす原因」です。両方が揃うと被害が起きやすくなります。

補足コラム

• 用語まとめ（簡潔）
  • 脅威（threat）：情報資産に損害を与える原因や出来事。例：マルウェア（malware：有害なソフト）、自然災害、人的ミス。
  • 脆弱性（vulnerability）：攻撃者が付け込めるシステムの弱点。例：未更新のソフト、設定ミス。
  • リスク（risk）：発生確率と影響度の組合せ。評価して対策優先度を決める。一般式は $リスク=発生確率\times 影響度$。組織によっては $リスク=脅威\times 脆弱性\times 影響度$ と表現する場合もあります。
• 実務での使い方（例）
  • まず情報資産（重要なデータや業務システム）を洗い出します。次に脅威を列挙し、脆弱性を評価してリスクを算出します。その結果に基づき、対策（脆弱性を減らす、脅威を避ける、影響を小さくする）を実施します。
• ISMS（Information Security Management System：情報セキュリティ管理システム）では、脅威・脆弱性・リスクを区別して管理します。

FAQ