解説

情報セキュリティの基本概念として「脅威」「脆弱性」「リスク」の三者を正確に区別することが重要です。脅威（Threat）とは「情報資産に損害を与える原因となるもの」であり、マルウェア・ハッカー・自然災害・内部不正・システム障害などが該当します。脆弱性（Vulnerability）は「攻撃者が付け込むことのできる情報システムの弱点」（ソフトウェアのバグ・設定ミス・パスワード管理の甘さなど）。リスク（Risk）は「情報資産が被害に遭う確率と被害規模の組合せ」です。セキュリティインシデントは「脅威が脆弱性を突いてリスクが顕在化した状態」と理解できます。

なぜ他の選択肢は違うのか

選択肢 ア

「攻撃者が付け込むことのできる情報システムの弱点」は脆弱性（Vulnerability）の説明です。OSのパッチ未適用・デフォルトパスワードのまま使用・アクセス制御の設定ミスなどが脆弱性の例です。脅威は脆弱性を利用して攻撃する「外部からの危険因子」であり、システム側の弱点を指す脆弱性とは異なります。

選択肢 イ

「情報資産が被害に遭う確率と被害規模の組合せ」はリスクの説明です。リスクは脅威×脆弱性×資産価値で評価されることが多く、発生確率と影響の大きさを組み合わせて定量・定性的に評価されます。

選択肢 エ

「情報システムの弱点を利用した攻撃によって被害を受ける可能性」もリスクの一側面の説明に近いです。脅威は「被害を与える原因そのもの」であり、被害の「可能性」を表すリスクとは異なります。

解くときのポイント

三概念の整理：脅威＝「損害の原因（マルウェア・攻撃者・災害）」、脆弱性＝「システムの弱点」、リスク＝「発生確率×影響規模」。脅威が脆弱性を突いてリスクが現実化する。「損害の原因＝脅威」を確実に覚えましょう。