🔰 Phase1：基礎理解（Day3）｜リスクとは何か？脅威・脆弱性・影響の関係を整理する｜📘 30日間連続講座｜情報セキュリティマネジメント合格ロードマップ

1. 「リスク」とは何か？

情報セキュリティの問題の多くは、結局この理解に帰着します。

リスクとは何か？

試験では「リスク評価」「リスク対応」「リスクアセスメント」といった言葉が頻出します。
しかし本質を理解していないと、用語暗記で終わってしまいます。

まずは定義から。

---

2. リスクの定義（試験レベル）

リスクとは、

脅威が脆弱性を突いて発生し、資産に損害（影響）を与える可能性

ここで重要なのが、3つの構成要素です。

• 脅威（Threat）
• 脆弱性（Vulnerability）
• 影響（Impact）

この関係を構造で理解します。

---

3. 脅威とは何か？

脅威とは、

事故や被害を引き起こす原因となるもの

例：

• サイバー攻撃
• 内部不正
• 災害
• ヒューマンエラー

ポイントは、

脅威は「存在する」だけではリスクにならないということ。

---

4. 脆弱性とは何か？

脆弱性とは、

攻撃や事故が起きる“隙”や“弱点”

例：

• パスワードが簡単
• ソフトウェア未更新
• 監視体制がない
• 物理的に鍵がない

脅威があっても、脆弱性がなければ被害は起きません。

---

5. 影響とは何か？

影響とは、

実際に発生した場合の損害の大きさ

例：

• 顧客情報漏えい → 信用失墜
• サーバ停止 → 売上停止
• 改ざん → 経営判断ミス

ここで初めて「経営リスク」になります。

---

6. 3要素の関係を図式化する

構造はこうなります。

脅威
　↓（脆弱性を突く）
被害発生
　↓
影響（損害）

つまり、

リスク = 脅威 × 脆弱性 × 影響

どれかがゼロなら、リスクは成立しません。

---

7. 具体例で理解する

例1：フィッシング攻撃

脅威：偽メール
脆弱性：社員が見抜けない
影響：認証情報漏えい

→ リスク成立

---

例2：災害

脅威：地震
脆弱性：バックアップなし
影響：業務停止

→ リスク成立

---

例3：攻撃はあるが対策済み

脅威：マルウェア
脆弱性：なし（最新対策済み）

→ リスク低減

---

8. 試験で問われるポイント

頻出テーマ：

✔ 脅威と脆弱性の違い
✔ リスク低減策は何か
✔ どの要素を減らしているか

例えば：

• パッチ適用 → 脆弱性を減らす
• 教育実施 → 脆弱性を減らす
• バックアップ取得 → 影響を減らす

この分類が瞬時にできることが重要です。

---

9. リスク評価とは何か？

リスク評価とは、

発生可能性 × 影響度 を算定すること

一般に、

• 発生確率が高い
• 影響が大きい

この2つが重なると優先度が上がります。

すべてを同じ強度で守るのではありません。

優先順位をつけることがマネジメント

これが試験の核心です。

---

10. 今日のアウトプット課題

書いてみてください：

1. 自分の会社の代表的な脅威は何か
2. それに対する脆弱性は何か
3. 発生した場合の影響は何か

これを言語化できれば、理解は定着しています。

---

11. 今日のまとめ

✔ リスクは「脅威・脆弱性・影響」の組み合わせ
✔ どれか1つでは成立しない
✔ 対策は3要素のどれを下げるかで分類できる
✔ リスクは優先順位をつけて管理する

明日は、

Day4｜インシデントはなぜ起きるのか？人的ミスの構造

セキュリティ事故の本質に踏み込みます。

---