正解：イ
各選択肢の解説
ア書棚に鍵が無く、勤務時間外でも誰でも扉を開けられる状態であること。
誤り。これは脆弱性です。脅威がつけ込む弱点で、鍵が無いこと自体は害を起こしません。 どちらも「危なさ」に見えますが、害を起こすもとか、それを許す隙かで分けます。
イ事務室に出入りする部外者が、申込書を抜き取って持ち去ること。
正解。脅威は、情報資産に害を及ぼすおそれのある出来事やそのもとです。 持ち去りは申込書の機密性を損なう出来事なので、脅威に当たります。
ウ申込書に氏名・住所・口座番号が書かれており、機密性が高いこと。
誤り。これは情報資産の価値（重要度）です。漏れたときの影響の大きさを決める要素で、 害を起こすものではありません。台帳で重要度を付けた結果がこれに当たります。
エ書棚を施錠し、鍵の貸出しを記録簿に記録して管理すること。
誤り。これは管理策（対策）です。脅威が脆弱性につけ込むのを防ぐ手段で、 リスクを洗い出した後に選ぶものです。脅威を減らす側であって、脅威そのものではありません。
理解を深めるために
脅威は「害を起こすもの」、脆弱性は「それを許す隙」
鍵の無い書棚に申込書が入っているだけでは、何も起きません。そこへ部外者が来て 抜き取ったときに、初めて情報が漏れます。害を起こす側が脅威、つけ込まれる隙が 脆弱性です。リスクは、価値のある資産に、脅威が脆弱性を通じて害を及ぼす可能性として考えます。
なぜ分けて洗い出すのか
リスクを洗い出すときは、情報資産台帳の資産ごとに次の要素を分けて書き出します。
- 資産の価値: 漏れたら・壊れたら・使えなくなったらどれだけ困るか
- 脅威: 何がその資産に害を及ぼしうるか（持ち去り、盗み見、火災、水濡れなど）
- 脆弱性: 脅威を通してしまう隙は何か（施錠なし、持出しの記録なし など）
- 管理策: 隙をふさぐ、または影響を小さくする手段
脅威は資産の置かれ方で変わります。紙の申込書なら持ち去りや火災、同じ内容を クラウドに置けば不正ログインや共有設定の誤りが加わります。分けておくと、 同じ脅威でもどの隙をふさげばよいかが見えます。
混同しやすいものとの違い
| 要素 | この場面での例 |
|---|---|
| 脅威 | 部外者による申込書の持ち去り |
| 脆弱性 | 書棚に鍵が無い |
| 資産の価値（重要度） | 氏名・住所・口座番号が載っていて機密性が高い |
| 管理策 | 書棚の施錠と鍵の貸出し記録 |
選択肢がどれも「危ない話」に見えるときは、それが害を起こすのか、害を許すのか、 害の大きさなのか、害を防ぐのかで振り分けます。