脅威・脆弱性・リスクの関係とは？

脅威・脆弱性・リスクの関係の意味

情報資産に損害を与える原因が脅威、それを許してしまう弱点が脆弱性、両者がそろって損害が生じる可能性がリスクである。リスクの大きさは「発生確率×影響度」で見積もる。FEでは3語の区別と、どちらを減らせば対策になるかが問われる。

脅威・脆弱性・リスクの関係の具体例

「マルウェアが送りつけられる」が脅威、「OSに未適用の修正パッチがある」が脆弱性、「感染して業務が止まる可能性」がリスク。脅威そのものは消せないので、パッチ適用で脆弱性をつぶしてリスクを下げる、という発想になる。

脅威・脆弱性・リスクの関係は試験でどう引っ掛けられる？

脆弱性があっても対応する脅威がなければリスクは顕在化せず、その逆も同じ。また脅威には不正アクセスのような人為的なものだけでなく、地震・停電といった環境的脅威や過失も含まれる。

脅威・脆弱性・リスクの関係と関連する用語

• リスクアセスメントとリスク対応
• 情報セキュリティポリシとISMS

脅威・脆弱性・リスクの関係が出た過去問

• エクスプロイトコードの説明はどれか。

  正解：攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。

  要点：エクスプロイトコードは脆弱性を突く攻撃・実証コード

  エクスプロイトコードは、ソフトウェアの脆弱性を突いて意図しない動作を起こさせる実証用・攻撃用のコードである。攻撃に使われる一方で、脆弱性が本当に悪用可能かを検証したり対策の効果を確かめたりする目的にも用いられる。よってアが正しい。

  出典：令和2年度 10月 データベーススペシャリスト試験 am2 問19（IPA）

• 情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。

  正解：ソフトウェアやハードウェアの脆弱性を検査又は攻撃するために作成されたプログラム

  要点：エクスプロイトコードは脆弱性を突く検査・攻撃用プログラム

  エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を突いて意図しない動作を起こさせるために作られたプログラムである。攻撃に使われる一方で、脆弱性が実際に悪用可能かを検査する目的でも用いられる。よってエが該当する。

  出典：令和5年度 秋期 データベーススペシャリスト試験 am2 問21（IPA）