午前問67
情報資産に対するリスクは、脅威と脆弱性を基に評価する。脅威に該当するものはどれか。
| 暗号化しない通信 | |
| 機密文書の取扱方法の不統一 | |
| 施錠できないドア | |
| 落雷などによる予期しない停電 |
『情報処理過去問.com』からiPhoneアプリがリリースされました！！
正解
- エ
解説
JIS Q 27000:2014では、脅威は望ましくないインシデントを引き起こす潜在的な原因で、組織やシステムに損害を与え得るもの、脆弱性は資産や管理策に存在し、脅威に付け込まれ得る弱点と定義されています。要するに、脅威は事故のきっかけ、脆弱性は弱点です。これに照らすと、落雷による予期しない停電はインシデントの原因となるため脅威、他の選択肢は弱点であり脆弱性に当たります。
| ア. | 暗号化しない通信 |
| 暗号化しない通信は盗聴といった脅威に狙われる弱点で、脆弱性に該当します。 | |
| イ. | 機密文書の取扱方法の不統一 |
| 機密文書の取扱方法が統一されていないことは、機密情報の持ち出しなどにつながる弱点で、脆弱性に該当します。 | |
| ウ. | 施錠できないドア |
| 施錠できないドアは、入室権限のない者の不正侵入につながる弱点で、脆弱性に該当します。 | |
| エ. | 落雷などによる予期しない停電 |
| 落雷などによる予期しない停電は、組織やシステムに被害を及ぼす事故の潜在的原因であり、脅威に該当します。正解です。 |