情報セキュリティマネジメントにおける，脅威と脆弱性に関する記述のうち，最も適切なものはどれか。

選択肢

• ア管理策の欠如によって脅威が高まり，脆弱性の深刻度が低くなる。
• イ脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。
• ウ脅威のうち，脆弱性によってリスクが顕在化するのは環境的脅威である。
• エ脆弱性の有無にかかわらず，事故の発生確率は脅威の大きさで決まる。

正解と解説

正解：イ 脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。

リスクは脅威と脆弱性の双方がそろって初めて顕在化する。したがって、対応する脅威が存在しないと判断できるなら、その脆弱性が突かれることはなく、対処の優先度は相対的に低くなる。

選択肢ごとの解説

• ア管理策が欠けると脆弱性が大きくなるのであって、脅威そのものが高まるわけではない。
• イ正しい。脅威がなければ脆弱性が突かれることはなく、対処の必要性は低い。
• ウ脆弱性を介してリスクが顕在化するのは環境的脅威に限らず、人為的脅威でも同じである。
• エ脅威が大きくても脆弱性がなければ事故は起きない。発生確率は両者の組合せで決まる。

同じ分野の他の問題

• サイバーキルチェーンに関する説明として，適切なものはどれか。2024年度 公開問題 科目A・B 問4
• APTの説明はどれか。2018年度 秋期 午前 問21
• スクリプトキディの典型的な行為に該当するものはどれか。2016年度 秋期 午前 問24
• APTの説明はどれか。2016年度 春期 午前 問19
• 情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。2026年度 公開問題 科目A・B 問5