平成29年度 秋期 情報セキュリティマネジメント試験 午前 問9
テクノロジ／セキュリティ情報セキュリティマネジメントにおける，脅威と脆弱性に関する記述のうち，最も適切なものはどれか。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問9
- ア管理策の欠如によって脅威が高まり，脆弱性の深刻度が低くなる。
- イ脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。
- ウ脅威のうち，脆弱性によってリスクが顕在化するのは環境的脅威である。
- エ脆弱性の有無にかかわらず，事故の発生確率は脅威の大きさで決まる。
正解：イ
解説
情報セキュリティにおいて、リスクは脅威が脆弱性に付け込むことで顕在化します。脅威が存在しないと判断できる場合は、脆弱性が存在してもリスクとして顕在化する可能性が低いため、その脆弱性への対処の優先度は相対的に低くなります。
選択肢ごとの解説
- ア誤り。管理策の欠如はそれ自体が脆弱性であり、管理策が欠如するほど脆弱性の深刻度は高くなります。脅威が高まるという説明も適切ではありません。
- イ正しい。脅威が存在しないと判断できる場合、脆弱性が残っていてもリスクは顕在化しにくいため、対処の必要性は相対的に低くなります。
- ウ誤り。脆弱性によってリスクが顕在化するのは環境的脅威に限らず、人為的脅威なども含みます。
- エ誤り。事故の発生確率は、脅威の大きさだけでなく脆弱性の有無や程度にも依存します。