「リスク」「脅威」「脆弱性」は、情報セキュリティの分野で頻繁に使われる用語ですが、その違いが曖昧なまま使われていることも少なくありません。

本記事では、混同されがちなこれら3つの用語について基礎から整理します。リスクが「脅威」と「脆弱性」の組み合わせによって決まるという考え方をもとに、それぞれの違いと関係性を解説します。

なお、実務では被害が発生した場合の影響の大きさ（影響度）も含めてリスクを評価することが一般的ですが、本記事ではまず大まかな考え方として「脅威」と「脆弱性」の関係に焦点を当てます。

セキュリティにおけるリスクとは、情報漏えいや不正アクセスなどの被害が発生する可能性を指します。
このリスクは、単一の要因で決まるものではなく、「脅威」と「脆弱性」という2つの要素の組み合わせによって決まります。

脅威と脆弱性は、それぞれ単独では必ずしも被害につながるとは限りません。

例えば、攻撃者が存在していても、システムに弱点がなければ侵入は困難です。弱点が存在していても、攻撃がなければ被害が発生する可能性は低いといえます。

しかし、脅威と脆弱性が同時に存在すると、被害が発生する可能性が高まります。

脅威とは？整理の視点を探る

脅威とは、システムや情報に被害をもたらす可能性のある攻撃や事象のことです。
例えば、サイバー攻撃やマルウェア、不正アクセス、内部不正などが該当します。これらは、企業やシステムに対して被害を引き起こす原因となります。

• 自組織に関連する脅威（公開システムへの攻撃、内部不正など）
• 業界全体で発生している脅威（ランサムウェア、フィッシングなど）
• 脆弱性情報に基づく脅威（脆弱性を悪用した攻撃）

セキュリティを考えるうえでは、まず自分たちが守るべき資産を把握することが重要です。

そのうえで、それらの資産に対してどのような攻撃が考えられるかを整理することで、自分たちにとっての脅威を明確にできます。

脆弱性とは？技術以外にも存在する弱点

脆弱性とは、攻撃を受けた際に被害につながる原因となる弱点のことです。
脆弱性というと、ソフトウェアの不具合や設定ミスなどの技術的な問題をイメージしがちですが、実際にはそれだけではありません。

• パスワード管理が適切に行われていない
• ログの監視が行われていない
• 従業員のセキュリティ意識が不足している

などといった運用や人的な要因も、脆弱性に含まれます。

脆弱性はシステムだけでなく、運用や人の行動も含めた広い概念として捉える必要があります。攻撃者はこうした小さな隙を足がかりに侵入を試みます。

つまり、脆弱性とは「攻撃を成立させてしまう隙」のことだといえます。