脅威・脆弱性・リスクの関係とは？

脅威・脆弱性・リスクの関係の意味

情報資産に損害を与える原因が脅威、それを許してしまう弱点が脆弱性、両者がそろって損害が生じる可能性がリスクである。リスクの大きさは「発生確率×影響度」で見積もる。FEでは3語の区別と、どちらを減らせば対策になるかが問われる。

脅威・脆弱性・リスクの関係の具体例

「マルウェアが送りつけられる」が脅威、「OSに未適用の修正パッチがある」が脆弱性、「感染して業務が止まる可能性」がリスク。脅威そのものは消せないので、パッチ適用で脆弱性をつぶしてリスクを下げる、という発想になる。

脅威・脆弱性・リスクの関係は試験でどう引っ掛けられる？

脆弱性があっても対応する脅威がなければリスクは顕在化せず、その逆も同じ。また脅威には不正アクセスのような人為的なものだけでなく、地震・停電といった環境的脅威や過失も含まれる。

脅威・脆弱性・リスクの関係と関連する用語

• リスクアセスメントとリスク対応
• 情報セキュリティの3要素（機密性・完全性・可用性）
• 情報セキュリティポリシとISMS

脅威・脆弱性・リスクの関係が出た過去問

• CSIRTの説明として、適切なものはどれか。

  正解：企業内・組織内や政府機関に設置され、情報セキュリティインシデントに関する報告を受け取り、調査し、対応活動を行う組織の総称である。

  要点：CSIRTはセキュリティ事故の受付・調査・対応を担うチーム

  CSIRT（Computer Security Incident Response Team）は、組織内で発生した情報セキュリティ事故の届出を受け付け、原因を調査し、封じ込めや復旧、再発防止までの対応を担うチームの総称である。企業内、政府機関、地域単位など設置形態は様々で、平時には脆弱性情報の収集や注意喚起も行う。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問42（IPA）

• コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。

  正解：ペネトレーションテスト

  要点：ペネトレーションテストは実際に侵入を試みて脆弱性を確かめる

  ペネトレーションテストは、実際に攻撃者と同じ手口でシステムへの侵入を試み、防御が突破できるかを確かめる検査手法である。机上のチェックでは見つからない設定不備や脆弱性の組合せを実証的に洗い出せる。実施にあたっては対象システムの所有者から事前に承認を得る必要がある。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問45（IPA）

• ドライブバイダウンロード攻撃に該当するものはどれか。

  正解：利用者が公開Webサイトを閲覧したときに、その利用者の意図にかかわらず、PCにマルウェアをダウンロードさせて感染させる。

  要点：ドライブバイダウンロードは閲覧だけで感染させる攻撃

  ドライブバイダウンロード攻撃は、改ざんされたWebサイトなどを閲覧しただけで、利用者が気付かないうちにマルウェアが自動的にダウンロード・実行される攻撃である。ブラウザやプラグインの脆弱性が悪用されるため、修正プログラムの適用が有効な対策となる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問36（IPA）

• セキュリティバイデザインの説明はどれか。

  正解：システムの企画・設計段階からセキュリティを確保する方策のことである。

  要点：セキュリティバイデザインは企画・設計段階から作り込む

  セキュリティバイデザインは、システムの企画・設計という上流の段階からセキュリティを組み込む考え方である。完成後に対策を後付けするより、脆弱性の作り込みを防ぎ、手戻りや対策費用を抑えられる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問42（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。

  正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ

  要点：リスクレベルは結果の大きさと起こりやすさの組合せ

  リスクレベルとは、ある事象が起きたときの結果の重大さと、その起こりやすさとを組み合わせて表したリスクの大きさである。リスクアセスメントでは、この二つの軸で各リスクを評価し、対応の必要性を判断する。弱点そのものは脆弱性、評価の目安となる条件はリスク基準と呼ばれ、いずれも別の用語である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問41（IPA）