情報セキュリティにおける脅威の意味とは？リスクとの違いを図解でわかりやすく解説

「情報セキュリティについて調べているけど、『脅威』が何を意味する言葉なのかよく分からない…」
「脅威とリスクってどんな違いがあるの？」

このようにお悩みの方へ、本記事では情報セキュリティにおける「脅威」の意味と「リスク」との違いを図を使いながら紹介します。

情報セキュリティにおける「脅威」とは？「リスク」との違いは？

情報セキュリティにおける「脅威」とは、組織や企業などが保有する情報資産に損失を与える要因（事象）のことで、言い換えると「リスク」を発生させる要因のことを意味します。

具体的に「リスク」とは、情報資産に損失を与える可能性のことです。

例えば、企業などが保有する情報資産を悪用しようと考える第三者によるサイバー攻撃や、地震・火事といった災害、ヒューマンエラーなどが「脅威」です。

こういった「脅威」が企業などに損失を与える可能性を「リスク」と呼びます。「脅威」は情報資産に対してすぐに損失を与えるとは限りません。「リスク」（事故が発生する可能性）の高さを考え、高いものから順に優先度をつけて対策していきます。

「脅威」の具体例

実際に「脅威」にはどのようなものがあるのか、具体例を知るとよりイメージしやすくなるでしょう。

脅威は以下の2種類に分かれます。

• 人為的脅威（人間によって引き起こされる脅威）

• 環境的脅威（災害や機材の老化などによって引き起こされる脅威）

人為的脅威は、さらに以下の2つに分かれます。

• 意図的脅威（何者かによって意図的に引き起こされる脅威）

• 偶発的脅威（何者かによって意図せず生まれる脅威）

図にすると以下のようになります。

人為的脅威の1つである「意図的脅威」には、主に以下のものが挙げられます。

• 不正アクセス

• マルウェア（コンピュータウイルス）

• フィッシング詐欺

• データや IT 機器などの盗難

また、人為的脅威のうち「偶発的脅威」としては、主に以下のものが挙げられます。

• メールの誤送信

• （不注意による）データの削除

• パソコンや USB メモリの紛失

• 脆弱性の見落とし（脆弱性については後述します）

そして「環境的脅威」としては、主に以下のものが挙げられます。

• 地震・台風・火災などの自然災害

• 使用している IT 機器などの老朽化

関連記事：情報セキュリティにおける「リスク対応」とは？4つの対応方法について紹介

「脅威」の対策をするには？

すでに判明している「脅威」は放置せず、「リスク」の高いものから順に削減していきましょう。「脅威」の対策を怠ってしまうと情報漏えいなどの大きな事故を引き起こす可能性があり、自社の信用を落とすだけでなく、取引先企業や顧客にまで被害が及んでしまうかもしれません。

「脅威」の種類によって有効な対策方法は異なります。例えば、

［意図的脅威の1つ「マルウェア」対策の例］

• OS やソフトウェアを最新版にアップデートする

• ウイルス対策ソフトをインストールする

• 不審なメールは開かない

• 怪しいリンクは踏まない（クリックしない）

［偶発的脅威の1つ「メールの誤送信」対策の例］

• 送信先に問題がないかチェックするよう徹底する

• 送信前に内容確認のポップアップが出るメールサービスを使う、またはそのようなシステムを開発する

• 全社員に情報セキュリティに関する研修を行い、リスクを理解させる

こちらの記事でセキュリティ対策の例を紹介していますので、本記事とあわせてご覧ください。
企業の情報セキュリティ管理者に初めてなった人がやるべきセキュリティ対策を解説

SecureNaviを活用して、ISMS認証を効率的に取得しましょう

今回は、情報セキュリティにおける「脅威」の意味と「リスク」との違いについて紹介しました。自社におけるセキュリティの脅威を把握し、きちんと対策を講じることが重要です。自社のセキュリティに不安や課題がある企業様は、全社のセキュリティレベルを上げることを目的に、ISMS認証を取得してはいかがでしょうか。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。