・技術的脅威： コンピューターの通信やソフトウェアの仕組みを悪用した攻撃。マルウェア（ウイルス、ワームなど）への感染、DoS攻撃（サービス妨害）、SQLインジェクションやクロスサイトスクリプティングなどのWeb脆弱性を狙ったサイバー攻撃、不正アクセスなどです。
・人的脅威： システムを利用する「人間」が引き起こす要因。メールの送信ミスや宛先間違いによる情報漏洩、PCやUSBメモリの紛失、パスワードの使い回しや弱いパスワードの設定、退職者や内部の人間による不正なデータの持ち出し、さらには騙し絵的な手法でパスワードを聞き出すソーシャルエンジニアリングなどが該当します。
・物理的脅威： 物理的な破壊や不具合をもたらす要因。地震、台風、津波、落雷、洪水といった自然災害、火災、停電、サーバールームへの不法侵入による機器の盗難、機器の物理的な寿命による経年劣化故障などがこれに含まれます。
試験対策としては、提示された情報漏洩やシステム障害の事例が「技術的脅威」「人的脅威」「物理的脅威」のどれに分類されるかを正確に識別できるようにすることが必須です。
例えば、「社員が機密データの入ったUSBメモリを居酒屋に置き忘れて紛失した」というケースは、本人の不注意によるものなので「人的脅威」です。また、「サーバールームに侵入した空き巣にハードディスクを物理的に持ち去られた」というケースは、建物への侵入と盗難なので「物理的脅威」となります。「悪意ある第三者がWebブラウザから不正な文字列を入力してデータベースを書き換えた」というケースは「技術的脅威」に分類されます。
また、セキュリティの基本的な計算式として「リスク ＝ 脅威 × 脆弱性 × 資産の価値」という考え方もよく出題されます。これは、強大な「脅威」（例：有能なハッカー）が存在していても、システム側に「脆弱性」（弱点）が全く無ければ、被害（リスク）は発生しないという原則を示しています。試験では、脅威そのものを無くすことは難しい（ハッカーや地震を消滅させることはできない）ため、セキュリティ対策の基本はシステムや組織の「脆弱性」を減らすことであるという根本的な考え方を理解しておきましょう。
脅威が突くセキュリティの弱点を表す「脆弱性」、脅威を分析して対策を立てる全体の管理プロセス「リスクマネジメント」、技術的脅威の代表格である悪質なプログラム「マルウェア」などがあります。