脅威分析とセキュリティリスクアセスメント
情報セキュリティにおける「脅威」と「脆弱性」の違いに関する記述として、最も適切なものはどれか。
- A脅威とは資産の弱点そのものであり、脆弱性とはその弱点を利用しようとする主体や事象である
- B脅威と脆弱性はいずれもリスクが顕在化した後に発生する結果を指す同義語である
- C脆弱性が存在しない情報システムには、いかなる脅威も存在し得ない
- ✓脅威とは情報資産に損害を与える可能性のある要因や事象であり、脆弱性とは脅威がつけ込むことのできる資産や管理策の弱点である
解説
脅威は資産に損害を与えうる要因・事象（例：攻撃者、自然災害）であり、脆弱性はその脅威がつけ込むことのできる弱点（例：パッチ未適用、設定不備）である。両者は別概念であり、脆弱性が無くても脅威自体は存在しうる。
根拠シラバス 情報システム及び情報システム基盤の脅威分析に関する知識（脅威・脆弱性の定義）