脅威と脆弱性を理解する

この単元で学ぶこと

• 資産・脅威・脆弱性・管理策を事例から区別できる
• リスクを発生可能性と影響から説明できる
• 対策後の残留リスクと見直しの必要性を説明できる

本文解説

まず保護する対象を決める 顧客名簿、受注データ、業務システムなどが情報資産です。「何を失ったり、漏らしたり、使えなくしたりすると困るのか」を明らかにします。機器だけに注目すると、印刷した紙やメールの添付ファイルを見落とします。

脅威は損害の原因 不正アクセスや盗難だけでなく、誤操作、火災、停電、災害も脅威になり得ます。脅威には意図的なものと偶発的なものがあります。「誰かが攻撃しなければ安全」とは限りません。誤った操作でも大切なデータを消失させる場合があります。

脆弱性は弱点 未修正のプログラムの欠陥、広すぎる共有権限、放置された書類、退職者の有効なアカウントなどです。ソフトウェアだけの用語ではありません。組織の手順や人の運用、物理的な保管場所にも弱点があります。

三つを対応付ける例 「来客が通る机に名簿を置き、第三者が持ち去るおそれがある」という場面では、資産は名簿、脅威は第三者の持去り、脆弱性は不適切な保管方法です。施錠保管や持出し記録は管理策です。守る対象と、その対象の弱点を別々に答えられるようにします。

リスクは可能性と影響 同じ弱点でも、外部から到達できるサーバーと、接続を制限した端末では悪用される可能性が異なる場合があります。また、失った情報が再取得できるか、業務が何時間止まるかによって影響も変わります。低頻度でも大きな被害が想定される事象は、無視してよいとは限りません。

管理策を原因に合わせる 過剰な共有権限なら権限を見直し、誤更新なら更新範囲と確認手順を見直します。消失に備えるバックアップは有効ですが、誰でも閲覧できる共有リンクの設定は直しません。一つの対策を全ての問題へ当てはめず、どの弱点や影響を減らすかを確認します。

対策後にも残るもの 鍵を付けても鍵の管理が不十分なら持去りのおそれは残ります。バックアップがあっても復元できなければ役立ちません。管理策を実施した後の残留リスクを評価し、追加策や受容の判断を行います。実施した事実だけでリスクがゼロと判断しないことが大切です。

前提が変わったら見直す 部署異動、クラウド移行、一般公開、委託先の追加などで利用条件は変わります。資産、共有範囲、権限、被害の影響を見直し、判断を記録します。被害が起きたかどうかはログなどで確認し、弱点があることと事故が既に起きたことを区別します。

図解

重要ポイント

• 資産は守る対象、脅威は損害の原因、脆弱性は弱点。
• 脅威には誤操作や災害も含む。
• リスクは発生可能性と影響の両面で考える。
• 管理策を被害の原因に対応付ける。
• 対策後の残留リスクと条件変更を見直す。

間違えやすい点

• 弱点の存在だけで被害発生を断定しない。
• ソフトウェアの欠陥だけを脆弱性と考えない。
• バックアップを漏えい防止の代わりにしない。

用語解説

情報資産

保護の対象となる情報やシステム・媒体など。電子データに加え、紙の顧客名簿や契約書も含む。

脅威

損害を引き起こす原因となり得るもの。不正アクセス、盗難、誤操作、自然災害など。

脆弱性

脅威によって被害につながり得る弱点。ソフトウェアの欠陥だけでなく、権限や保管方法、手順の不備も含む。

リスク

損害が生じる可能性と、その影響を考慮したもの。脅威の存在だけでも資産の価格だけでも決まらない。

管理策

リスクを修正するための施策。アクセス制御、教育、施錠、バックアップなど。

残留リスク

管理策を実施した後にも残るリスク。ゼロになるとは限らず、受容や追加対応を判断する。

関連教材

• 脅威と脆弱性の試験問題への適用
• 情報資産の試験問題への適用
• 情報資産を理解する