脆弱性 vs 脅威 vs リスク

セキュリティ対策を考える際の基本的な枠組みです。

1.脆弱性（ぜいじゃくせい）：

OSのバグや、鍵のかけ忘れといった、守る側にある『弱点』です。

2.脅威（きょうい）：

ウイルス、ハッカー、地震など、システムを脅かす『外部の要因』です。

3.リスク：

脆弱性を突いて脅威が現実となり、損害が発生する『可能性』のことです。一般に『リスク ＝ 資産の価値 × 脅威 × 脆弱性』と表現されます。ポイントは、これらを区別しないと「何に対して」「どんな対策」をすべきかが曖昧になるからです。例えば、脆弱性（穴）を塞ぐのが『脆弱性対策（パッチ適用）』、脅威が来ても大丈夫なようにするのが『リスク対策（バックアップ）』です。試験では、具体的な事例（例：OSのバグはどれか）を、この3つの分類に当てはめさせる問題が頻出します。