資訊安全基礎
思考資訊安全風險時的「威脅」與「漏洞」，下列何者屬於漏洞？
- A公司內的電腦未套用作業系統的安全性修補程式
- B從網際網路寄來、附帶惡意軟體的電子郵件
- C地震或火災造成的設備損壞
查看答案與解析
正確答案：A. 公司內的電腦未套用作業系統的安全性修補程式
威脅是可能造成損害的事件或行為，包括攻擊者的未經授權存取、惡意軟體、天然災害與操作失誤等。漏洞是可被威脅利用的弱點，例如未修補的軟體、容易猜到的密碼、設定錯誤、門禁管理鬆散等。風險則是威脅利用漏洞對資訊資產造成損害的可能性，再加上該損害的大小。即使存在威脅，只要沒有可被利用的漏洞，就不易發生損害；減少漏洞是降低風險的代表性方法。
- A. 正確。未修補的軟體是可被攻擊利用的弱點，因此是漏洞。
- B. 附帶惡意軟體的電子郵件是可能造成損害的外部行為，因此是威脅。
- C. 地震與火災是天然災害造成的威脅（環境威脅）。