個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第26問: 情報資産に対する「脅威」と「脆弱性」の関係について、正しいものはどれか。

正解: 2. 脅威は損失を発生させる原因となる事象、脆弱性は脅威が付け入る弱点であり、両者が組み合わさってリスクとなる

脅威とは、システムや組織に損害を与える可能性があるインシデントの潜在的な原因をいい、脆弱性とは、脅威によって付け入られる可能性のある資産や管理策の弱点をいいます。脅威が存在しても脆弱性がなければ、また脆弱性があっても脅威がなければ、リスクは顕在化しにくくなります。脅威には内部者による不正と外部からの攻撃の双方が含まれます。

根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 脅威・脆弱性・リスク