人的脅威（誤操作・紛失・不正行為）とは？じんてききょうい
人的脅威（誤操作・紛失・不正行為）とは、人の行為に起因する脅威の総称で、過失（誤操作・誤送信・紛失・設定ミス）と故意（内部不正・情報持出し・改ざん）に大別され、さらに人を騙して情報を引き出すソーシャルエンジニアリングもここに含まれる。技術的統制で完全には塞げない領域なので、対策は予防（最小権限・職務分掌・入社時と退職時の権限手続き）、抑止（監視されていると分かる状態にする、誓約書）、発見（アクセスログと操作ログの相関分析、UEBAによる普段と違う振る舞いの検知）、是正（インシデント対応手順）の四層で設計する。内部不正は「動機・機会・正当化」の三要素が揃うと起きるとされ、統制で直接減らせるのは機会だけである点が設計の起点になる。近年は退職予定者による持出しが典型パタンで、退職の意思表明から実際の退職までの期間の権限縮小が実務の要点になる。
最終更新：2026-10-06
応用情報を最短で暗記・合格する →背景
技術的統制は「権限の無い者が行う操作」を止める仕組みであり、正規の権限者による正規の操作は定義上すべて正常として通る。内部不正がここを素通りするのは統制の欠陥ではなく、認可という考え方の構造的な限界である。だから対策の重心は、行為を不可能にする方向から、機会を減らし・後から追跡でき・思いとどまらせる方向へ配分せざるを得ない。動機と正当化は統制で操作できず、機会だけが設計対象になるという整理も同じ帰結から来ている。近年UEBAのような振る舞い分析が入るのも、権限では切れない差を「普段と違う」という別の軸で捉えるためで、午後問題はこの層の設計を問うてくる。
具体例
AWSのIAMでは職務ごとに最小権限のポリシーを割り当て、CloudTrailで全APIコールの証跡を残せる。この2つが揃うと「その操作ができる人が限られている」ことと「誰がやったか後から追える」ことの両方が成立し、機会の削減と発見的統制が同時に効く。IPAは毎年公表する情報セキュリティ10大脅威の組織編に内部不正を継続して挙げており、統制対象として外せない位置にある。
試験での引っ掛け
記述式では「なぜ技術的対策だけでは不十分か」を理由込みで書かせる。芯は、正規の権限を持つ者による正規の操作は技術的には正常であり、権限の範囲内では検知できないから。だからログの相関と職務分掌が必要になる、とつなぐ。境界として、抑止と予防は違う。監視カメラや監査の告知は行為を思いとどまらせる抑止であって、行為自体を不可能にする予防ではない。設問が「防止」を求めているのか「抑止」を求めているのかで正解が変わる。もう一つ、人的脅威の対策として教育を挙げるのは正しいが、教育は過失には効いても故意には効きにくい。故意側には権限設計とログで答える。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (3) 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。