脅威・脆弱性・リスクの試験問題への適用
本番形式では、一つの文章に脅威・脆弱性・資産・影響が混在する。文中の要素を分解してからリスク評価と対策優先度を判断する。
この単元で学ぶこと
- 資産特定の意味と役割を説明できる
- 脅威特定の意味と役割を説明できる
- 脆弱性特定の意味と役割を説明できる
- 事例文を資産・脅威・脆弱性・リスクへ分解し、対策後まで評価できる
本文解説
「資産は何か」「脅威は何か」「弱点は何か」「起きた場合の影響は何か」を表にすると、用語の取り違えを防げる。対策後には残留リスクまで確認する。
資産特定 守る対象と価値を明確にすること。 情報、システム、業務、信用などを対象にする。
脅威特定 資産へ損害を与え得る事象や主体を洗い出すこと。 攻撃者、災害、故障、誤操作を考える。
脆弱性特定 脅威に悪用され得る弱点を見つけること。 パッチ未適用、公開設定、弱いパスワードなど。
リスク算定 発生可能性と影響度から優先度を決めること。 定量・定性のいずれでも目的は優先順位付け。
対策後評価 管理策実施後に残留リスクを再評価すること。 対策が十分か追加対応が必要か判断する。
文章から名詞を拾うのではなく、役割ごとに資産/脅威/弱点/被害へ分類する。
「顧客DBを持つ公開Webに未修正欠陥があり攻撃者が悪用可能」なら、資産=顧客DB、脅威=攻撃者、脆弱性=欠陥、リスク=漏えい可能性。
図解
重要ポイント
- 資産特定: 守る対象と価値を明確にすること。
- 脅威特定: 資産へ損害を与え得る事象や主体を洗い出すこと。
- 脆弱性特定: 脅威に悪用され得る弱点を見つけること。
- リスク算定: 発生可能性と影響度から優先度を決めること。
- 事例を4要素へ分解すると、似た用語の選択肢でも根拠を持って判断できる。
間違えやすい点
- 資産と影響を混同しない。
- 対策前のリスクと対策後の残留リスクを同じ値と決めつけない。
- 脆弱性スコアだけで業務影響を無視しない。
用語解説
- 資産特定
- 守る対象と価値を明確にすること。
- 脅威特定
- 資産へ損害を与え得る事象や主体を洗い出すこと。
- 脆弱性特定
- 脅威に悪用され得る弱点を見つけること。
- リスク算定
- 発生可能性と影響度から優先度を決めること。
- 対策後評価
- 管理策実施後に残留リスクを再評価すること。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。