情報セキュリティの基礎
情報セキュリティのリスクを考えるときの「脅威」と「脆弱性」について、脆弱性に当たるものはどれか。
- A社内のPCで、OSのセキュリティ更新が適用されていないこと
- Bインターネットから送られてくるマルウェア付きのメール
- C地震や火災による設備の損傷
答えと解説を見る
正解：A. 社内のPCで、OSのセキュリティ更新が適用されていないこと
脅威は、損害を与えるおそれのある出来事や行為で、攻撃者による不正アクセス、マルウェア、自然災害、操作の誤りなどが含まれます。脆弱性は、脅威につけ込まれる弱点で、更新されていないソフトウェア、推測しやすいパスワード、設定の誤り、入退室の管理の甘さなどです。リスクは、脅威が脆弱性につけ込んで情報資産に損害を与える可能性と、その影響の大きさを合わせたものです。脅威があっても、つけ込まれる脆弱性がなければ損害は起きにくく、脆弱性を減らすことはリスクを下げる代表的な方法です。
- A. 正しい。更新されていないソフトウェアは、攻撃につけ込まれる弱点なので脆弱性です。
- B. マルウェア付きのメールは、損害を与えるおそれのある外からの働きかけなので脅威です。
- C. 地震や火災は、自然災害による脅威(環境的な脅威)です。