情報セキュリティマネジメント 平成29年度 秋期 午前 問9

✓ これが正解イ 脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。

解説

脅威がなければ弱点への対処の必要性は下がります。

事故は、狙う側の要因である脅威と、狙われる側の弱点である脆弱性が組み合わさって、はじめて現実になります。どちらか一方だけでは被害まで届きません。ですから、その弱点を突く脅威が存在しないと判断できる場面では、弱点そのものは残っていても、そこへ人手や費用を掛ける必要性は低くなります。限られた資源をどこへ向けるかを決めるとき、この見方が優先順位の土台になります。裏を返せば、狙う相手がいると分かっているなら、弱点は放置できません。脅威と脆弱性は、どちらか一方を見て大きさを決められるものではなく、対になって事故の起こりやすさを左右する関係にあります。

ほかの選択肢の解説

• ア 管理策の欠如によって脅威が高まり，脆弱性の深刻度が低くなる。：守るための手立てが欠けている状態は、突かれる隙の深刻さを増す向きに働きます。深刻度が低くなるという向きが逆ですし、狙う側の要因の大きさが手立ての有無で決まるわけでもありません。
• ウ 脅威のうち，脆弱性によってリスクが顕在化するのは環境的脅威である。：隙を突かれて被害が現実になるのは、自然災害のような環境の要因に限りません。人の行為による意図的なものや、機器の故障によるものなど、さまざまな要因が同じ経路をたどります。
• エ 脆弱性の有無にかかわらず，事故の発生確率は脅威の大きさで決まる。：隙の有無に関わらず狙う側の大きさだけで確率が決まるとしてしまうと、隙をふさぐ対策の意味がなくなります。実際には、ふさぐほど事故の起こりやすさは下がります。