物理的・人的脅威と情報セキュリティへの影響
更新日:
用語解説
物理的・人的脅威は、災害・設備故障・破壊・盗難等の物理・環境要因と、誤操作・過失・不正行為・認証情報悪用等の人に起因する事象が、情報資産の機密性・完全性・可用性等を損なう可能性です。原因の意図性、影響、脆弱性及び対策を一対一に決め付けず、具体的なシナリオで評価します。
■ 試験で押さえるポイント
脅威は損害を生じさせ得る原因・事象、脆弱性は脅威に利用される弱点、リスクは発生可能性と影響を踏まえた不確かさです。地震という脅威に対し、同一建物への集中という脆弱性があると停止リスクが高まる、という関係で整理します。
事故は意図しない有害事象の広い呼称で、災害は地震・洪水・火災・落雷等、故障は機器・部品・ソフトウェアが機能を果たせない状態、エラーはデータ・処理・通信等の誤りです。原因と結果が重なることがあります。
破損は媒体・装置が物理的に損なわれる状態、破壊は意図的な設備・データの毀損を指すことが多く、どちらも可用性だけでなく完全性や、廃棄媒体露出による機密性へ影響し得ます。
誤謬は判断・認識・入力内容の誤り、誤操作は誤った操作、過失は必要な注意を怠ることです。悪意がなくても宛先誤りは機密性、誤更新は完全性、誤停止は可用性を損ないます。
故意の内部不正、物理・論理的侵入、妨害行為、不正利用、盗み見は意図的脅威です。正規権限者による持出しもあるため、境界防御だけでなく最小権限、職務分離、承認、ログ、内部通報及び退職時統制を行います。
紛失は所在不明、盗難は第三者が奪う行為ですが、端末が手元を離れる影響は共通します。資産台帳、持出し制御、保管・輸送管理、ストレージ暗号化、画面ロック、遠隔失効・消去及び速やかな報告を組み合わせます。
バックアップはデータ復旧に有効ですが、盗難による漏えい、停止時間、設備全損を単独では解決しません。冗長化、遠隔・オフライン保管、復旧手順、代替拠点、UPS・発電、耐震・防火及び定期復元試験を事業要件に合わせます。
対策は抑止・予防・検知・対応・復旧へ多層化します。ICカードだけで共連れを防げない、暗号化だけで削除を防げないなど限界を把握し、人、手順、物理、技術の統制を組み合わせます。
■ 過去問での着眼点
偶発的な災害・故障・誤操作と、意図的な破壊・侵入・不正利用を区別し、各事象がCIAの複数要素へ与える影響を具体的に判断します。脅威、脆弱性、リスク、インシデントを区別し、予防だけでなく検知・対応・復旧を含む多層対策を選びます。一つの脅威がCIAの一要素だけを損なうとは限らないため、資産とシナリオから影響を評価します。
例: 暗号化済みノートPCを紛失した場合、暗号鍵が安全なら保存情報の機密性リスクは下げられますが、端末を利用できない可用性と業務停止は残ります。予備端末、バックアップ、資格情報失効、報告手順も必要です。