情報セキュリティでは、脅威・脆弱性・リスクを区別して扱う。 このうち脆弱性の説明として、最も適切なものはどれか。

正解：ア

各選択肢の解説

1. ア修正されていない不具合や設定の不備など、攻撃に付け込まれ得る欠陥

   正解。脆弱性は、守る側の仕組みに残っている弱点そのものです。 ソフトウェアの欠陥（セキュリティホール）のほか、権限設定の誤りや 手順の抜けなど、人や運用の側の弱点も含めて呼びます。

2. イ不正アクセスや災害など、情報資産に損害を与える可能性のある原因

   誤り。これは脅威の説明です。脆弱性と対にして語られるため混同しますが、 脅威は損害を与えようとする側の要因で、多くは自組織の外にあり、 なくすことができません。守る側に残る弱点が脆弱性です。

3. ウ損失が生じる可能性と、生じたときの影響の大きさを合わせて見たもの

   誤り。これはリスクの説明です。脅威が脆弱性に付け込んだときに どれだけ困るかの見積りであり、弱点そのものではありません。 脆弱性を減らせばリスクは下がる、という関係でつながっています。

4. エ情報セキュリティを脅かす事象として実際に発生した出来事

   誤り。これはインシデントの説明です。脆弱性は攻撃を受ける前から そこにある状態で、インシデントは起きてしまった事実です。 起きる前の弱点か、起きた後の事象かという時点の違いがあります。

理解を深めるために