脅威とは
脅威（きょうい）とは、情報システムやデータなどの「情報資産」に対して、悪影響を与えたり損害をもたらしたりする具体的な要因のことです。脅威は、セキュリティ対策の弱点である「脆弱性（ぜいじゃくせい）」を突くことで被害を発生させます。脅威は大きく3つに分類されます。1つ目はハッカーによる不正アクセスやウイルス感染などの「技術的脅威」、2つ目は操作ミスや機器の紛失、ルール違反などの「人的脅威」、3つ目は地震や火災、落雷といった災害や停電などの「物理的脅威」です。これらを正しく把握することがセキュリティ対策の第一歩です。
具体例
オフィスのゴミ箱に捨てられた書類（メモ）から、社員が書き残したパスワードを盗み出されるという「人的脅威」や、サーバールームに落雷があり停電が発生してデータが壊れてしまうという「物理的脅威」が、現実に想定される脅威の例です。
脅威の3大分類：
- 技術的脅威：マルウェア、サイバー攻撃、不正アクセス
- 人的脅威 ：誤操作、紛失、内部不正、ソーシャルエンジニアリング
- 物理的脅威：地震、落雷、火災、機器の故障、侵入窃盗もう少し詳しく
情報セキュリティ管理における「脅威（Threat）」は、自社が守るべきデータや機器などの情報資産に対して損害を与えるあらゆる要因を指します。重要なのは、脅威それ自体は組織の外部や内部に客観的に存在するリスクの源泉であり、システム自体の作り方や設定とは無関係に定義される点です。例えば、「地震」や「ハッカー」はどのようなシステムであっても脅威となり得ます。
脅威は、その性質から主に以下の3つに大別されます。
・技術的脅威： コンピューターの通信やソフトウェアの仕組みを悪用した攻撃。マルウェア（ウイルス、ワームなど）への感染、DoS攻撃（サービス妨害）、SQLインジェクションやクロスサイトスクリプティングなどのWeb脆弱性を狙ったサイバー攻撃、不正アクセスなどです。
・人的脅威： システムを利用する「人間」が引き起こす要因。メールの送信ミスや宛先間違いによる情報漏洩、PCやUSBメモリの紛失、パスワードの使い回しや弱いパスワードの設定、退職者や内部の人間による不正なデータの持ち出し、さらには騙し絵的な手法でパスワードを聞き出すソーシャルエンジニアリングなどが該当します。
・物理的脅威： 物理的な破壊や不具合をもたらす要因。地震、台風、津波、落雷、洪水といった自然災害、火災、停電、サーバールームへの不法侵入による機器の盗難、機器の物理的な寿命による経年劣化故障などがこれに含まれます。
試験でのポイント
試験対策としては、提示された情報漏洩やシステム障害の事例が「技術的脅威」「人的脅威」「物理的脅威」のどれに分類されるかを正確に識別できるようにすることが必須です。
例えば、「社員が機密データの入ったUSBメモリを居酒屋に置き忘れて紛失した」というケースは、本人の不注意によるものなので「人的脅威」です。また、「サーバールームに侵入した空き巣にハードディスクを物理的に持ち去られた」というケースは、建物への侵入と盗難なので「物理的脅威」となります。「悪意ある第三者がWebブラウザから不正な文字列を入力してデータベースを書き換えた」というケースは「技術的脅威」に分類されます。
また、セキュリティの基本的な計算式として「リスク ＝ 脅威 × 脆弱性 × 資産の価値」という考え方もよく出題されます。これは、強大な「脅威」（例：有能なハッカー）が存在していても、システム側に「脆弱性」（弱点）が全く無ければ、被害（リスク）は発生しないという原則を示しています。試験では、脅威そのものを無くすことは難しい（ハッカーや地震を消滅させることはできない）ため、セキュリティ対策の基本はシステムや組織の「脆弱性」を減らすことであるという根本的な考え方を理解しておきましょう。
関連する用語
脅威が突くセキュリティの弱点を表す「脆弱性」、脅威を分析して対策を立てる全体の管理プロセス「リスクマネジメント」、技術的脅威の代表格である悪質なプログラム「マルウェア」などがあります。