脅威と脆弱性
脅威は、情報セキュリティを脅かす要因のことです。脆弱性は、脅威に付け込まれる情報セキュリティ上の弱点のことです。
最終更新日：2026年9月28日
このページで覚えること
このページでは、次の3点を押さえます。
- 脅威と脆弱性の違いと、被害につながる関係
- 人的脅威・技術的脅威・物理的脅威の特徴
- 脅威と脆弱性に応じた、基本的な対策
導入トーク
白瀬真琴
今回の学習内容は、脅威と脆弱性です。
バロン
脅威と脆弱性ですかな？
白瀬真琴
はい。今回は初心に戻って、情報セキュリティの基礎の基礎を学習します。
バロン
たしかに、初心は大事ですぞ。
白瀬真琴
情報セキュリティは、簡単に言えば、情報を安全に守ることです。
バロン
会社の機密情報が外部に漏えいしないようにするとかですな。
白瀬真琴
そうですね。
他にも、コンピュータウイルスに感染しないようにすること、
大切なデータが壊されないようにすることなどが情報セキュリティに該当します。
白瀬真琴
今回は、こうした被害が起こる原因を理解するために、
脅威と脆弱性について学習していきます。
STEP 1
脅威と脆弱性の違い
白瀬真琴
まずは、脅威です。脅威は、情報セキュリティを脅かす要因のことです。
例えば、不正アクセスやコンピュータウイルス、ノートパソコンの盗難、停電などが脅威にあたります。
バロン
情報を盗まれたり、パソコンが使えなくなったりする原因になるものですな。
白瀬真琴
はい。次の脆弱性は、脅威に付け込まれる情報セキュリティ上の弱点のことです。
例えば、簡単に推測できるパスワードを使っていると、その弱点を狙われ、不正アクセスされるおそれがあります。
バロン
不正アクセスが脅威で、簡単なパスワードを使っていることが脆弱性なのですな。
白瀬真琴
そのとおりです。ノートパソコンの盗難であれば、人が出入りする場所に、管理せず置きっぱなしにしている状態が脆弱性になります。
このように、脅威と脆弱性を組み合わせて考えると、どのような被害につながるかが分かりやすくなります。
| 脅威 | 脆弱性の例 | 想定される被害 |
|---|---|---|
| 不正アクセス | 推測されやすいパスワードを使っている | 情報を不正に閲覧・持ち出しされる |
| コンピュータウイルスによる攻撃 | ソフトウェアの脆弱性を修正せずに使っている | 感染してデータを壊されたり、盗まれたりする |
| ノートパソコンの盗難 | 人が出入りする場所に、管理せず放置している | 機器を失い、保存していた情報も漏えいする |
| 停電 | 電力供給が止まった場合の備えがない | システムが突然停止し、作業中のデータを失う |
バロン
パソコンの中にある問題だけでなく、置き方や管理の仕方も弱点になるのですな。
白瀬真琴
はい。脆弱性には、ソフトウェアの欠陥のほか、機器の管理方法や、仕事の手順などにある弱点も含まれます。
脅威に利用される脆弱性があると、実際の被害につながりやすくなるという関係を押さえましょう。
ここで覚えること
- 脅威＝情報セキュリティを脅かす要因。
- 脆弱性＝脅威に付け込まれる情報セキュリティ上の弱点。
- 脆弱性には、ソフトウェアだけでなく、管理方法や作業手順の弱点も含まれる。
STEP 2
セキュリティホールとセキュリティパッチ
白瀬真琴
ソフトウェアやシステムに存在するセキュリティ上の弱点は、セキュリティホールと呼ぶこともあります。
「ホール」は穴という意味なので、セキュリティ上の穴ということですね。
バロン
穴が開いているなら、早めにふさいでおきたいですぞ。
白瀬真琴
はい。そのために使われるのが、セキュリティパッチです。これは、ソフトウェアのセキュリティ上の弱点を修正するプログラムのことです。
OSやアプリケーションを更新し、修正プログラムを適用することで、見つかった脆弱性を解消します。
バロン
更新を後回しにしていると、弱点が残ったままになることがあるのですな。
白瀬真琴
そうですね。コンピュータウイルスなどは、修正されていない脆弱性を悪用して感染することがあります。
ソフトウェアの更新は、こうした攻撃に利用される弱点を減らすための、大切な対策です。
ここで覚えること
- セキュリティホール＝ソフトウェアやシステムにあるセキュリティ上の弱点。
- セキュリティパッチ＝セキュリティ上の弱点を修正するプログラム。
- ソフトウェアを更新し、脆弱性を修正することが重要。
STEP 3
人的脅威――人のミスや不正による脅威
白瀬真琴
ここからは、脅威の種類を見ていきましょう。脅威は、人的脅威・技術的脅威・物理的脅威の3つに整理できます。
まずは、人のミスや不正行為などによる人的脅威です。
白瀬真琴
例えば、操作ミスで大切なデータを削除してしまうことや、メールを誤送信して情報を漏えいさせることなどがあげられます。
また、組織内部の人が、顧客情報を故意に持ち出すような内部不正も、人的脅威の一つです。
バロン
わざとすることも、うっかりしてしまうこともあるのですな。
白瀬真琴
はい。意図的に行う「故意」と、不注意などによる「過失」の両方があります。
操作ミスであれば、教育や練習が不十分なこと、操作手順が複雑なこと、確認する仕組みがないことなどが、脆弱性になる場合があります。
白瀬真琴
また、人の心理的な隙や行動上の不注意などを利用して、情報を盗み出す手口を、ソーシャルエンジニアリングといいます。
例えば、システム管理者になりすまして電話をかけ、パスワードを聞き出すような手口です。
バロン
管理者だと言われたら、つい答えてしまいそうですぞ。
白瀬真琴
そこを狙われるのですね。相手が名乗っただけで信用せず、決められた連絡先や手順で確認することが大切です。
また、パスワードを入力しているところや画面を盗み見て情報を入手する手口は、ショルダーハッキングといいます。
バロン
入力しているところを見られてしまうのですな。周りにも気を付けなければなりませんぞ。
白瀬真琴
はい。人的脅威への対策としては、次のようなものがあります。
| 対策 | 内容 |
|---|---|
| 社員教育 | 情報の扱い方や、だまされやすい手口を学ぶ。 |
| 作業手順の見直し | 操作を分かりやすくし、誤操作や誤送信を減らす。 |
| 確認体制の整備 | 重要な操作や送信の前に、内容を確認できるようにする。 |
| アクセス権限の制限 | 業務に必要な範囲で情報を利用できるようにする。 |
ここで覚えること
- 人的脅威には、故意による不正と、過失によるミスがある。
- ソーシャルエンジニアリングは、人の心理的な隙や不注意などを利用する手口。
- 社員教育、作業手順、確認体制などを整えることが重要。
STEP 4
技術的脅威――IT技術を悪用した攻撃
白瀬真琴
次は、技術的脅威です。IT技術を悪用した攻撃などによる脅威を指します。
不正アクセス、マルウェア、データの改ざん、DoS攻撃などが代表例です。
| 用語 | 意味 |
|---|---|
| 不正アクセス | 正当な権限を持たない人が、情報システムに不正に侵入したり、利用したりすること |
| マルウェア | コンピュータウイルスなどを含む、悪意のあるソフトウェアの総称 |
| 改ざん | データを不正に書き換えること |
| DoS攻撃 | 大量のデータを送り付けるなどして、サーバやシステムの正常な利用を妨げる攻撃 |
白瀬真琴
まず、コンピュータウイルスは、マルウェアの一種という関係を押さえておきましょう。
マルウェアは、悪意のあるソフトウェア全体を表す言葉です。
バロン
ウイルスも、マルウェアという大きなまとまりに含まれるのでしたな。
白瀬真琴
はい。また、改ざんという言葉も覚えておきましょう。
例えば、Webサイトの内容を勝手に変更したり、記録されている金額を不正に書き換えたりすることです。
バロン
データを盗むだけでなく、勝手に書き換えてしまう攻撃もあるのですな。
白瀬真琴
そうですね。そして、DoS攻撃は、サービスを使えなくしたり、使いにくくしたりする攻撃です。「ドス攻撃」と読みます。
例えば、サーバに大量の通信を送り付けて処理しきれない状態にすると、通常の利用者がWebサイトを開けなくなります。
白瀬真琴
このような攻撃を、多数のコンピュータなどから分散して行うものを、DDoS攻撃といいます。「ディードス攻撃」と読み、攻撃元が多数に分散していることが特徴です。
バロン
たくさんのところから押し寄せて、サービスを邪魔するのですな。
白瀬真琴
はい。技術的脅威への対策では、ソフトウェアの更新、マルウェア対策ソフトの利用、認証の強化、不正な通信の制限などを組み合わせます。
どのような攻撃を防ぐのかを考え、その攻撃に合った対策を選ぶことが大切です。
ここで覚えること
- マルウェアは悪意のあるソフトウェアの総称で、ウイルスはその一種。
- 改ざんは、データを不正に書き換えること。
- DoS攻撃はサービスの正常な利用を妨げる攻撃で、DDoS攻撃は攻撃元が多数に分散している。
STEP 5
物理的脅威――盗難・災害・停電などの脅威
白瀬真琴
最後は、物理的脅威です。機器や設備に物理的な影響を与える脅威で、盗難、破壊、地震、火災、停電などがあげられます。
パソコンそのものを盗まれたり、災害でサーバが壊れたりすると、情報を失ったり、業務を続けられなくなったりします。
バロン
機器や設備を守ることも、情報を守ることにつながるのですな。
白瀬真琴
はい。例えば、人が出入りする場所に置かれたパソコンやディスプレイが、ケーブルで固定されていることがあります。
この盗難防止用のケーブルを、セキュリティワイヤーやセキュリティケーブルといいます。機器を机などに固定し、持ち去られにくくする対策です。
バロン
あのケーブルは、持ち去られないようにするためのものなのですな。
白瀬真琴
そうですね。ほかにも、部屋や保管庫に鍵をかけたり、入退室できる人を管理したりすることが、盗難への対策になります。
地震に対しては、機器や棚を固定して転倒を防ぐなどの対策を行います。
白瀬真琴
停電への備えとしては、UPS（無停電電源装置）があります。
UPSは、停電などで電力供給が止まったときに、バッテリから一定時間、機器に電力を供給する装置です。作業中のデータを保存したり、システムを安全に停止したりするための時間を確保できます。
バロン
突然電源が切れる前に、データを保存して安全に止められるようにするのですな。
白瀬真琴
はい。また、災害でデータを失うことに備え、別の場所にもバックアップを保管しておくことが役立ちます。
物理的脅威では、機器の保管場所や設置方法、電源、建物の安全性などにも目を向けましょう。
ここで覚えること
- 物理的脅威には、盗難・破壊・地震・火災・停電などがある。
- セキュリティワイヤーは、機器を固定して盗難を防ぐためのもの。
- UPSは、停電時に一定時間電力を供給し、安全な停止などに役立つ。
STEP 6
脅威と脆弱性から対策を考える
白瀬真琴
ここまで、脅威と脆弱性、そして脅威の種類を見てきました。
対策を考えるときは、次の順番で整理すると分かりやすくなります。
| 手順 | 考えること |
|---|---|
| 1 | どのような脅威があるかを考える。 |
| 2 | その脅威に対して、どのような弱点があるかを考える。 |
| 3 | その弱点を減らし、被害につながりにくくする対策を行う。 |
白瀬真琴
例えば、メールの誤送信という脅威を考えた場合、送信先を確認する手順がないことが脆弱性になります。
そこで、送信前に宛先や添付ファイルを確認する手順を設ける、といった対策につなげます。
バロン
何が起こりそうかを考えて、その原因になる弱点を見直していくのですな。
白瀬真琴
はい。脆弱性を減らすことは、情報セキュリティの第一歩です。
あわせて、被害が起きた場合の影響を小さくするために、データのバックアップや、復旧するための手順も準備します。
バロン
被害を防ぐ準備と、起きてしまったときに備える準備が大切なのですな。
白瀬真琴
そのとおりです。脅威と脆弱性の関係が分かると、対策の意味も理解しやすくなります。
「何のための対策なのか」を、具体的な脅威や弱点と結び付けて覚えましょう。
ここで覚えること
- 脅威を知り、脆弱性を見つけ、対策につなげる。
- 被害を起こりにくくする対策と、被害が起きた場合の影響を小さくする備えを行う。
STEP 7
今日のまとめ
白瀬真琴
今回の基本は、脅威は情報セキュリティを脅かす要因、脆弱性は脅威に付け込まれる弱点という違いです。
ソフトウェアやシステムの弱点は、セキュリティホールとも呼ばれ、セキュリティパッチの適用などで修正します。
白瀬真琴
また、脅威は、次の3種類を代表例と一緒に整理しておきましょう。
| 種類 | 代表例 |
|---|---|
| 人的脅威 | 操作ミス、誤送信、内部不正、ソーシャルエンジニアリング |
| 技術的脅威 | マルウェアによる攻撃、データの改ざん、DoS攻撃・DDoS攻撃 |
| 物理的脅威 | 機器の盗難・破壊、地震、火災、停電 |
バロン
用語だけでなく、具体例と一緒に覚えると分かりやすいですな。
白瀬真琴
はい。試験では、事例を読んで、脅威と脆弱性を見分けたり、適切な対策を選んだりできるようにしておきましょう。
それでは、確認問題です。
STEP 8
確認問題
学習完了
白瀬真琴コイン × 1 を獲得できます。
確認問題に全問正解すると、講師コインを獲得できます。
未ログイン中のコインは、このブラウザに一時保存されます。無料登録またはログイン後に、アカウントへ反映できます。