ISMSにおける脅威と脆弱性の違いとは？具体例と脅威インテリジェンスへの応用
情報セキュリティの本質は、情報資産に潜む「脆弱性（弱点）」と、それを引き起こす「脅威（要因）」を正しく結びつけて理解することにあります。
本記事では、リスクアセスメントの現場で広く活用されている考え方をベースに、脅威を「環境的」「意図的」「偶発的」の3大分類に分けて整理し、それぞれの特性に応じた具体的なアプローチをわかりやすく解説します。 さらに、最新の JIS Q 27001:2023（ISO/IEC 27001:2022）で追加された「A.5.7 脅威インテリジェンス」への応用方法まで解説します。
自社のセキュリティ水準を向上させ、実務に即した効果的なリスクマネジメント（管理策の特定）を実現するための実践的なガイドラインとしてぜひお役立てください。
この記事で解決できること
- 「脅威」と「脆弱性」の正確な定義と関係性
- セキュリティ対策の土台となる「脅威の3大分類」と具体例
- 自社の「脆弱性」を具体的に識別・洗い出すためのポイント
- 最新のISMS規格における「脅威インテリジェンス」への応用方法
目次
「脅威」と「脆弱性」の関係性とは？
情報セキュリティにおける「脅威」とは、情報システムや組織に損失・損害をもたらすセキュリティ事故の潜在的な原因（要因）のことです。そして、その脅威は、情報資産が持つ固有の弱点やセキュリティホールといった「脆弱性」に付け入ることで顕在化（セキュリティ事故に発展）します。
下図は、GMITS Part3（ISO/IEC TR 13335-3）の附属書C及びDを参考に、「脅威のタイプ」と「脆弱性の一般的な例」を一覧にまとめたものです。
同規格では、脅威を「意図的」、「偶発的」、「環境的」の3つに大別しており、このように区分して把握することは、どの様な対策（脆弱性への対応）が有効であるかを論理的に整理する上で非常に有用です。
（※現在の国際規格では、下図の下の補足情報をご覧ください）
※画像クリックでPDFが表示されます
【補足情報・規格の変遷について】
- ※GMITSとは：
「情報技術セキュリティ管理指針（Guidelines for the Management of IT Security）」の略称であり、過去の標準規格である「ISO/IEC TR 13335」を指します。現在この規格は廃止されており、後継規格であるISO/IEC 27005（情報セキュリティリスク管理）に引き継がれています。現在のISO/IEC 27005の附属書においても、脅威や脆弱性の具体的な「例」が数多く例示されています。 - ※リスクマネジメントの整合性：
近年のISOマネジメントシステム規格（MSS）では、リスクマネジメントのプロセスに関して、汎用的な標準ガイドラインである「ISO 31000」の原則を取り入れています。これに伴い、ISMSの専門規格であるISO/IEC 27005も、ISO 31000と完全に整合性をとった「情報セキュリティリスク」特化型の実務ガイドラインとして位置づけされています。
脅威の3大分類と有効なアプローチ
脅威を「環境的」「意図的」「偶発的」のように特性を区分して把握することは、組織において「どのようなセキュリティ対策（管理策）が有効か」を導き出すために役立ちます。
1. 環境的脅威（地震、雷、高潮など）
環境的脅威は、発生そのものを人間がコントロールすることはできません。そのため、以下のような「回避」や「回復」に重きを置いた対策が有効になります。
- 災害の発生可能性が極めて低い場所を設置計画時に選択する（回避）
- 万が一発生した場合に素早く「検知」し、被害から迅速に回復するための事業継続計画（BCP）を策定・実施する（回復）
2. 意図的脅威（内部不正、サイバー攻撃など）
意図的脅威は、悪意を持った行動によるものです。これらに対しては、物理的・技術的な壁を設けるだけでなく、抑止や牽制、権限の分離といった組織的対策が有効となります。
- 就業規則や情報セキュリティ規程において「違反時の罰則」や「損害賠償請求の可能性」を明確に示す
- 全従業員に対して定期的なセキュリティ教育を実施し、コンプライアンス意識を高める（抑止的対策）
3. 偶発的脅威（入力ミス、操作ミスなど）
偶発的脅威は、悪意のないヒューマンエラーです。人間である以上、ミスを100%防ぐことは不可能なため、仕組み（技術的・物理的プロセス）でカバーするアプローチが求められます。
- 重要なデータは2回ずつ入力させる（ダブルチェックの仕組み化）
- システム側で「一定の範囲の値しか入力できない」ようにバリデーションをかける
- チェックデジットやチェックサムを設け、誤入力を自動的に検知・排除する
「脆弱性」を識別するためのポイント
実際に自社の「脆弱性」を洗い出し（識別）する際は、情報資産の「性質」や「属性」と関連付けて検討するとスムーズに進められます。
例えば、ノートパソコンという情報資産を例に挙げると、以下のような関係性が見えてきます。
| 情報資産の性質・属性 | 対応する脆弱性・引き起こされる脅威 |
|---|---|
| 持ち運びやすい | 移動中や外出先での「盗難」や「置き忘れ」のリスク（脆弱性） |
| 衝撃に弱い（物理的脆弱性） | 落下による破損や水濡れといった「物理的故障」による可用性の低下 |
| 公共の場で利用される | 第三者による画面の「覗き見（ショルダーハック）」や紛失による「情報漏えい」 |
また、まったく同じ「ノートパソコン」という情報資産であっても、「社内利用のみ」か「社外への持ち出しあり」かといった利用環境や保管場所の違い、さらには情報のライフサイクル（作成・保管・廃棄）に応じた処理プロセスや利用時間によって、識別される脆弱性は全く異なるものになります。
脆弱性の識別＝必要な「管理策」の特定
脆弱性は、見方を変えれば「適切な管理策が欠如している状態」を同時に意味しています。
例えば、「バックアップコピーが未取得である」という脆弱性は、「適切なバックアッププロセスを実施する」という管理策（対策）と表裏一体の関係にあります。
したがって、自社の情報資産における脆弱性をきめ細かく識別していくプロセスそのものが、そのまま「今後組織に導入すべき必要な管理策」を特定するための強力なガイドラインとなります。
最新のJIS Q 27001:2023「脅威インテリジェンス」への応用
先述した「意図的・偶発的・環境的」という脅威の3大分類は、現在のISMS運用における「脅威アセスメント」でも非常に有効に機能します。
最新の規格であるJIS Q 27001:2023（ISO/IEC 27001:2022）では、新たな管理策として「A.5.7 脅威インテリジェンス」が追加されました。
これは、IPAやJPCERT/CC、ベンダーレポートなどの最新のセキュリティ脅威情報を収集し、自社のリスクマネジメントに活かすことを求めています。
この「脅威インテリジェンス」の運用において、外部から収集した膨大な情報を自社にどう落とし込むかという局面で、「これは意図的な攻撃か、偶発的なエラー要因か、環境的なリスクか」と分類するアプローチが極めて役立ちます。
情報の特性を3つの軸で整理することで、組織として講じるべき技術的・組織的なリスク対策（管理策）を迷わずスピーディに決定できるようになります。
💡 脅威インテリジェンスに関する Q&A
当社のサポート窓口には、自力での取得を目指す担当者様から切実な相談が寄せられます。取得後にも関わってくる体制の質問も紹介します。
Q. ISO 27001:2022「脅威インテリジェンス」は、専門チームがいなくても自社で対策可能ですか？
A. 「脅威インテリジェンス」とは、攻撃者の動機、標的、攻撃方法を理解するために組織で収集・分析されたデータのことです。
→ ISO 27001:2022「脅威インテリジェンス」は、専門チームがいなくても自社で対策可能ですか？についてはこちらQ. 脅威の「影響する資産価値」の判断方法は何でしょうか。
A. 業務災害とは、一般的には業務上の事由による労働者の負傷、疾病、障害又は死亡などを指し、他に事業場の施設・設備や管理状況などがもとで発生した災害もいいます。
→ 脅威の「影響する資産価値」の判断方法は何でしょうか。についてはこちら
まとめ：効果的なリスクマネジメントは「確かな規程」から
本記事では、情報セキュリティの根幹となる「脅威」と「脆弱性」の関係から、それらを体系化する「3大分類」、そして最新規格（JIS Q 27001:2023）の「脅威インテリジェンス（A.5.7）」への応用アプローチまでを解説しました。
改めて、実務において重要なポイントをおさらいしましょう。
- 「脆弱性」の識別は性質・環境から：
情報資産の「持ち運びやすさ」や「利用場所」など、ライフサイクルに紐づく特性から洗い出す。 - 脆弱性と管理策は表裏一体：
脆弱性を特定することは、組織が導入すべき「対策（管理策）」をそのまま特定することに繋がる。 - 最新規格（A.5.7）との連携：
日々のインテリジェンス（外部脅威情報）を「意図的・偶発的・環境的」に分類し、リスク評価へ落とし込む仕組み作りが求められる。
しかし、これらの一連のアセスメントプロセスを自社のルール（規程・プロセス）として落とし込み、審査に合格できるレベルの「文書」として整備・運用していくことは、想像以上に骨が折れる作業です。
「最新規格に適合した規程を効率的に用意したい」「自社流に一から作成する時間がない」という実務担当者様に向けて、当ストアではそのまま審査・実務で使える最適なツールをご用意しています。
📌【実務にすぐ使える】JIS Q 27001:2023対応の規程・ひな形をお探しの方へ
当「ISM Web store」では、この最新規格の「A.5.7 脅威インテリジェンス」に完全対応した『リスクマネジメント管理規程』を含む、実践的なサンプル文書集を販売しています。
外部からの脅威情報の収集方法や、意図的・偶発的・環境的脅威への具体的な分類プロセス、資産への影響度識別まで、審査にそのまま通用するレベルでシステム化された文書一式をご提供しています。「自社での規程策定や見直しに時間をかけたくない」という担当者様は、ぜひご活用ください。
