脅威

情報セキュリティの脅威は、情報資産、組織、個人へ望ましくない影響を与える可能性を持つ原因、主体、事象又は状況です。脅威が脆弱性を利用して事故を起こす可能性と影響の大きさからリスクを評価します。

■ 試験で押さえるポイント

• 攻撃者・内部不正等の意図的脅威、誤操作・故障等の偶発的脅威、地震・火災等の環境・物理的脅威があり、対象資産ごとに洗い出します。

• 脅威源は攻撃者や自然現象などの原因、脅威事象は不正アクセスや停電など実際に害を生じ得る出来事として区別すると分析しやすくなります。

• 脅威は弱点である脆弱性そのものではありません。地震という脅威に対し、耐震性不足が脆弱性、停止の可能性と影響がリスクです。

• 脅威情報や過去事例だけでなく、事業環境、依存先、攻撃能力・意図、発生頻度を継続的に見直し、予防・検知・対応・復旧策を選びます。

■ 選択肢での判断ポイント

害を起こす可能性のある原因・事象が脅威、弱点が脆弱性、発生可能性と影響を組み合わせたものがリスクです。

例: ランサムウェアが脅威、未修正のVPN装置が脆弱性です。これを悪用して基幹業務が5日停止する可能性と損失を評価したものがリスクです。