【情報セキュリティマネジメント】情報資産・脅威・脆弱性・リスクの違い｜シャドーITと攻撃者まで事例で整理

情報セキュリティの問題では、同じ事例の中に情報資産、脅威、脆弱性、リスクが登場します。

例えば、「顧客情報を保存したノートPCを無施錠の車内へ置いたところ、盗難に遭った」という事例では、顧客情報とノートPCは守る対象、盗難が起こる可能性は脅威、無施錠で放置した状態は脆弱性です。そして、情報漏えいや業務停止などが起こり得ることがリスクであり、実際にPCが盗まれた事実はインシデントです。

この記事では、四つの概念を事例から切り分けられるように整理します。あわせて、シャドーIT、攻撃者の種類・動機、ダークウェブとの違いも確認します。

先に結論：守る対象・悪影響の原因・弱点・起こり得る損失に分ける

/Users/yukih/Downloads/テキスト最終手前/C1-T03_修正依頼プロンプト.md /Users/yukih/Downloads/テキスト最終手前/C1-T03_統合精査完成稿_修正版_再照査修正版.md /Users/yukih/Downloads/テキスト最終手前/C1-T03_統合精査完成稿_修正版_再照査報告書.md| 発生可能性と影響を伴う不確かさ |

学習上は、次の関係で整理できます。

脅威が脆弱性を利用又は誘発し、情報資産へ悪影響を与える可能性がリスクになる。

ただし、「情報資産×脅威×脆弱性＝リスク」という表現は四則演算の式ではありません。また、全てのリスクを必ず三つの単語へ機械的に分解できるという意味でもありません。四つの関係を理解するための基本的な整理です。

1．情報資産：組織にとって価値があり、保護すべき対象

情報資産は、組織にとって価値があり、情報セキュリティ上の保護を必要とする対象です。

電子データだけを指すわけではありません。

情報そのもの

• 顧客情報、従業員情報
• 契約書、設計書、研究データ
• 認証情報、暗号鍵
• 紙の帳票や会議資料
• 音声、画像、映像

情報を処理・保存・伝達する仕組み

• 業務システム、ソフトウェア
• サーバ、PC、スマートフォン、記録媒体
• ネットワーク、通信回線
• クラウドサービス
• バックアップやログ

組織の活動を支える人材・知識・施設

• 業務手順、技術上のノウハウ
• 従業者が保有する業務知識
• 情報を取り扱う担当者や運用体制
• サーバ室、書庫などの施設

SGでは、情報システム、データ、文書だけでなく、施設や人材も情報資産の特定対象として扱います。ただし、どこまでを情報資産台帳へ登録するかは、組織が定めた管理方針と分類基準に従います。

全ての情報資産を同じ強さで保護するわけではありません。重要性、法令・契約上の要求、業務への影響などを踏まえて分類し、優先順位を付けます。

情報資産台帳の作成や資産価値の評価は、「情報資産の洗出しと台帳」で詳しく扱います。

2．脅威：情報資産へ悪影響を与える可能性がある事象・状況・主体

脅威は、組織の業務、情報資産、個人などへ悪影響を与える可能性がある事象、状況又は主体です。

脅威を「外部の攻撃者」だけに限定してはいけません。内部者の不正、従業者の誤操作、設備故障、自然災害なども脅威となります。

人に関係する脅威

• 外部からの不正アクセス
• 内部者による不正持出し
• 盗難、盗聴、なりすまし
• メールの誤送信
• ファイルの誤削除
• アクセス権の誤設定
• 端末や記録媒体の紛失

技術・設備に関係する脅威

• マルウェア感染
• ソフトウェアの異常
• 機器の故障
• 回線障害
• 停電
• 容量不足
• システム負荷の急増

物理・環境に関係する脅威

• 火災
• 地震
• 洪水、浸水
• 落雷
• 異常気象
• 建物や設備の損壊

分類名だけを暗記するより、「その事象によって、情報資産の機密性・完全性・可用性などが損なわれ得るか」と考える方が確実です。

同じ表現でも、何を指しているかによって分類が変わる場合があります。例えば、アクセス権を誤って設定するという行為・事象は人的な脅威として整理できます。一方、不要な利用者にも権限が付与されたままの状態は、悪用され得る脆弱性です。問題文では、起きた出来事と、その結果として残った弱点を分けて読みます。

3．脆弱性：脅威に悪用又は誘発され得る弱点

脆弱性は、脅威によって悪用又は誘発され、情報資産へ悪影響を生じさせ得る弱点です。

ソフトウェアのバグだけではありません。人、組織、手順、設備、外部サービスとの関係にも脆弱性があります。

技術的な脆弱性

• ソフトウェアのバグ、セキュリティホール
• 更新プログラムの未適用
• 初期パスワードの放置
• 弱い認証設定
• 不要なサービスやポートの有効化
• 暗号化やログ記録の不足
• クラウドの公開範囲の誤設定

人的な脆弱性

• パスワードの使い回し
• 不審な添付ファイルを開きやすい状態
• 教育や訓練の不足
• 機密情報を扱う際の注意不足
• 端末や書類を放置する習慣

組織・手順上の脆弱性

• 承認手続がない
• 役割と責任が不明確
• アクセス権の棚卸しをしていない
• インシデントの報告先が分からない
• 委託先や利用中のクラウドサービスを把握していない
• 内部統制や監視が不十分
• 退職者のアカウントを削除していない

物理的な脆弱性

• サーバ室を施錠していない
• 端末や媒体を持ち去りやすい場所へ置いている
• 消火、停電、浸水への対策が不足している
• 入退室記録を残していない
• 重要設備が一か所へ集中している

脆弱性が存在しても、直ちに事故が発生したことを意味しません。一方、事故がまだ起きていなくても、脅威に利用されやすい弱点があれば対処が必要です。

4．ノートPC盗難の事例で四つを切り分ける

次の事例を考えます。

営業担当者が、顧客情報を保存したノートPCを鍵の掛からない車内へ置いたまま離れ、PCが盗まれた。

問題文では、脅威、脆弱性、結果、実際に起きた事故が一つの文章へ混在します。

次の順番で読むと整理しやすくなります。

1. 何を守る必要があったか
2. どのような事象・主体が悪影響を与えたか
3. どの弱点が被害を可能又は容易にしたか
4. どのような損失が起こり得たか
5. 既に事故が発生したのか、まだ可能性の段階か

5．脅威と脆弱性を「外か内か」だけで分けない

「脅威は外から、脆弱性は内側にある」と覚えると、一部の問題では判断しやすくなります。

しかし、この覚え方だけでは誤分類が生じます。

• 内部者による不正や従業者の誤操作も脅威になる
• 外部クラウドサービスの契約・設定・管理上の弱点も脆弱性になり得る
• 設備故障や自然災害は、外部攻撃ではないが脅威になる
• 攻撃者は外部にいても、利用される脆弱性は自社だけでなく委託先に存在する場合がある

したがって、場所ではなく次の基準で判断します。

• 悪影響を与え得る事象・状況・主体か：脅威
• 悪用又は誘発され得る弱点か：脆弱性

また、「対策で消せるものは脆弱性、消せないものは脅威」という判断も正確ではありません。脅威の発生可能性を低減できる場合もあれば、完全には解消できない脆弱性もあります。

6．リスク：発生可能性と影響を考える

情報セキュリティリスクは、脅威が脆弱性を利用するなどして、情報資産や組織へ悪影響を与える可能性に関するものです。

SGでは、次の二つを中心にリスクの大きさを考えます。

• その事象が発生する可能性
• 発生した場合の影響

同じ脆弱性が存在しても、リスクの大きさは一律ではありません。

例えば、同じ未修正の脆弱性でも、次の条件によって優先度が変わります。

• インターネットから到達できるか
• 攻撃手法が公開されているか
• 実際に悪用されているか
• 保存・処理している情報の重要性
• 業務がそのシステムへどの程度依存しているか
• 既存の監視、防御、復旧対策があるか
• 事故時の金銭的、法的、信用上の影響

「脆弱性がある＝必ず重大リスク」というわけではありません。脅威の状況、資産の重要性、既存対策、発生可能性と影響を合わせて判断します。

リスクとインシデントの違い

• リスク：望ましくない結果が起こり得る可能性と、その結果の大きさに関する不確実性
• インシデント：情報セキュリティへ悪影響を与える事象が実際に発生した状態

リスクは、まだ事故が起きていない段階も含めて評価します。インシデントは、想定していた事象又は別の事象が実際に発生した状態です。

リスク特定、リスク分析、リスク評価などの詳しい手順は、「リスクアセスメントの全体像」で扱います。

7．シャドーIT：組織の把握・承認・管理が及ばないIT利用

シャドーITは、従業者や部門が、組織の正式な承認、把握又は管理を経ずに、業務で端末、ソフトウェア、クラウドサービスなどを利用している状態です。

例えば、担当者が個人契約のオンラインストレージへ業務資料を保存すると、組織は次の事項を確認・管理しにくくなります。

• データの保存場所
• 誰と共有されているか
• 認証やアクセス制御の設定
• 操作ログの有無と保存期間
• 退職・異動時のアクセス停止
• 契約終了時のデータ移行・削除
• インシデント発生時の調査・報告
• 法令や契約上の条件への適合

問題の本質は、「外部サービスだから危険」ということではありません。

組織が利用状況とリスクを把握できず、必要な管理を適用できないことが問題です。

SGシラバスでは、シャドーITが「脆弱性」の項目の用語例に置かれています。試験では攻撃手法ではなく、組織による把握・管理が及ばず、設定不備、更新漏れ、アクセス管理不足などの弱点を生じさせる状態として整理します。

シャドーITという利用行為やサービスが、常に単独で一つの脆弱性へ対応するとは限りません。実際には、未把握のアカウント、誤った共有設定、契約管理不足、ログ不足など、複数の脆弱性を生じさせ、情報漏えいなどのリスクを高めます。

利用申請、発見、是正、例外管理、代替サービスの整備などの具体的な対応は、「シャドーITとサイバーハイジーン」で扱います。

8．攻撃者の「種類」と「動機」と「活動環境」を分ける

攻撃に関する用語は、何を分類しているのかを分けて覚えます。

スクリプトキディ

高度な攻撃手法を自ら開発するのではなく、既存の攻撃ツールや公開された手順を利用して攻撃する者です。

技術力が相対的に低いことと、被害が小さいことは同じではありません。利用するツールや対象によっては、大きな被害を生じさせる可能性があります。

ボットハーダー

マルウェアに感染した多数の端末から成るボットネットを指揮・操作する者です。

依頼と許可を得てセキュリティ診断や侵入試験を行う技術者とは異なります。

ハクティビズム

政治的・社会的な主張や信条を背景とする活動です。

金銭的な要求を伴う事例があっても、用語の中心は政治的・社会的な目的にあります。「金銭目的の攻撃者」とだけ覚えるのは不適切です。

ダークウェブ

ダークウェブは攻撃者の種類ではありません。通常の検索エンジンでは見つけにくく、専用の仕組みなどを通じてアクセスする領域を指します。

匿名性を必要とする正当な利用もあり得ますが、盗難情報、認証情報、マルウェア、攻撃サービスなどの取引に悪用されることがあります。

SGシラバスでは「攻撃者の種類」の用語例の並びにダークウェブが掲載されていますが、概念上は人物や集団ではなく、活動環境・情報流通の場として区別します。

よくある取り違え

科目Bでの判断手順

事例問題では、次の順で確認します。

1. 守るべき対象を拾う

情報、機器、サービス、業務知識、施設などを情報資産として確認します。

1. 悪影響を与え得る事象・状況・主体を確認する

攻撃、盗難、誤操作、故障、災害などを脅威として整理します。

1. 被害を可能又は容易にした弱点を探す

未修正、無施錠、設定不備、教育不足、管理手続の欠如などを脆弱性として整理します。

1. 起こり得る悪影響を確認する

漏えい、改ざん、業務停止、信用低下、賠償などをリスクとして捉えます。

1. 可能性の段階か、実際に発生した事象かを分ける

リスクとインシデントを混同しないようにします。

1. 問題文が求める分類軸を確認する

攻撃者の種類、動機、活動環境を取り違えないようにします。

まとめ

• 情報資産は、組織にとって価値があり、保護すべき対象
• 情報資産は電子データだけでなく、紙文書、機器、サービス、業務知識、施設なども含み得る
• 脅威は、情報資産などへ悪影響を与える可能性がある事象、状況又は主体
• 脅威には外部攻撃だけでなく、内部不正、誤操作、故障、災害も含まれる
• 脆弱性は、脅威に悪用又は誘発され得る弱点
• 脆弱性は技術だけでなく、人、組織、手順、物理環境にも存在する
• リスクは、望ましくない結果が生じる可能性と影響に関するもの
• 「資産×脅威×脆弱性」は関係を理解するための図式であり、計算式ではない
• リスクと、実際に起きたインシデントは区別する
• 脅威と脆弱性は、外部・内部ではなく「悪影響の原因か、弱点か」で判断する
• シャドーITは、組織の承認・把握・管理が及ばないIT利用であり、複数の管理上の脆弱性を生む
• 攻撃者の技能・立場、攻撃の動機、活動環境を分けて考える
• ダークウェブは攻撃者ではなく、活動・情報流通の環境
• 科目Bでは、守る対象、脅威、弱点、起こり得る結果を一つずつ切り分ける

関連記事

• C1-T01：情報セキュリティの3要素と拡張要素
• C1-T03以降：個別のサイバー攻撃手法
• C4-T01：情報資産の洗出しと台帳
• C4-T03：リスクアセスメントの全体像
• C4-T05：リスク対応の4分類
• C7-T06：シャドーITとサイバーハイジーン

参考資料・基準日

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• IPA「情報セキュリティマネジメント試験（SG）及び基本情報技術者試験（FE） 公開問題（問題冊子・解答例）（2026年度、令和8年度）」（2026年7月1日公開）
• JIS Q 27000:2019「情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語」
• NIST「Computer Security Resource Center (CSRC) Glossary」（2026年8月7日参照）

関連する問題

• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第1問〜第5問
• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第6問〜第10問
• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 一問一答 第11問〜第15問

---