【過去問解説】平成29年度 秋期 情報セキュリティマネジメント試験（SG） 午前 問9

出典：平成29年度秋期情報セキュリティマネジメント試験（SG）午前問9

難易度設定

予備知識を表示する
ピヨ意訳を表示する
ピヨピヨ解説を表示する

予備知識

用語	意味
情報セキュリティ	情報の安全を守ること
情報セキュリティマネジメント	情報の安全を守るために、あれやこれやを管理すること
脅威	ヤバいことの原因になりそうなやつ。あなたがそいつの管理者や責任者だったと仮定した場合に、あなたの心の平穏を脅かしそうな「敵」
環境的脅威	地震、雷、火事、台風、洪水などの自然災害のように、いわゆる「環境」と呼ばれるものによる脅威
脆弱性	放っておくとヤバいところ。セキュリティ上のバグや弱点、考慮漏れ等の欠陥
リスク	「危険性」のこと。もしくは「不確実性」のこと

問題

問題文
情報セキュリティマネジメントにおける，脅威と脆弱性に関する記述のうち，最も適切なものはどれか。
ピヨ意訳：情報セキュリティの話で出てくる「脅威」と「脆弱性」に関する説明のうち正しいのは、どれ？

解答選択肢
ア	管理策の欠如によって脅威が高まり，脆弱性の深刻度が低くなる。
ア	ピヨ意訳：ちゃんと対策をしておかないと脅威が高まって、脆弱性の深刻さは減るよ
イ	脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。
イ	ピヨ意訳：脅威がなさそうなときは脆弱性の対処はそこまで必要じゃないよ
ウ	脅威のうち，脆弱性によってリスクが顕在化するのは環境的脅威である。
ウ	ピヨ意訳：脆弱性によってヤバいことになる脅威は環境的脅威だよ
エ	脆弱性の有無にかかわらず，事故の発生確率は脅威の大きさで決まる。
エ	ピヨ意訳：事故が発生する確率は脅威の大きさで決まるよ。脆弱性の有無は関係ないよ

正解

正解
イ	脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。
イ	ピヨ意訳：脅威がなさそうなときは脆弱性の対処はそこまで必要じゃないよ

ピヨピヨ解説

脅威と脆弱性は、捉えようによっては似ています。
どちらも「うわっ！ヤバっ！（￣д￣；）」や「なんてこったい！（つд`）」の原因になりそうなやつです。

ただし、脅威と脆弱性は区別されます。
イメージは

脅威：敵（による攻撃）
脆弱性：弱点

です。

それを踏まえて、それぞれの選択肢を見ていきましょう。

「ア：管理策の欠如によって脅威が高まり，脆弱性の深刻度が低くなる。」は間違いです。
きちんと管理しておかないと、敵による攻撃の可能性は高まります。
それに伴い、弱点の深刻度は「高く」なります。

「イ：脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。」は正しいです。
敵がいなければ弱点を放置しても問題にはなりません。
弱点を攻撃してくるやつが、いないからです。

「ウ：脅威のうち，脆弱性によってリスクが顕在化するのは環境的脅威である。」は間違いです。
環境的脅威は自然災害とかによる脅威です。
弱点があろうとなかろうとドッキドキですよね。
脆弱性によってリスクが顕在化するのは、悪い人によるサイバー攻撃とかでしょう。

「エ：脆弱性の有無にかかわらず，事故の発生確率は脅威の大きさで決まる。」も間違いです。
普通に考えて、弱点の有無は事故の発生確率に影響しますよね。
ブレーキがバッチリ効く車よりも効きにくい車の方が事故る確率は上がるはずです。

ということで「イ：脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。」が正解です。