4脆弱性評価とリスク管理

• 4.1脆弱性管理

  弱点を見つけて直すまでの継続的なサイクルである脆弱性管理（特定→管理→緩和）と、相手に直接触れて調べる能動的偵察・公開情報や観測だけで調べる受動的偵察の違い、そして開いているポートを一覧するポートスキャンや繰り返し作業を機械に任せる自動化を、「どこに穴があり、どう塞ぐか」を組み立てる基礎として学びます。

• 4.2脅威インテリジェンス

  既知の弱点を共通の名前で参照するCVEと、その深刻度を数値化するCVSS、弱点を集めた脆弱性データベースの用途と限界、そしてセキュリティレポート・ニュース・購読サービス・集合知といった情報源を、「今どの脅威に注目すべきか」を判断する材料として集め・活かす基礎を学びます。

• 4.3リスク管理

  弱点そのものである脆弱性と、発生確率×影響で測るリスクの違い、リスクを低/中/高/極高にランク付けする考え方、そして受容・低減・移転・回避という4つのリスク対応の選び分け、扱うデータ分類が高まるほどリスクも大きくなる関係を、「何をどこまで守るか」を決める判断として学びます。

• 4.4災害復旧と事業継続

  ITシステムを復旧させる手順に絞ったDRP（災害復旧計画）と、事業全体を止めないための広い計画であるBCP（事業継続計画）の違い、どれだけ早く復旧するかのRTOとどこまでのデータ損失を許すかのRPO、バックアップの役割、そして検知的/予防的/是正的という3種のDRコントロールを、「止まった後、どう立ち直るか」を設計する基礎として学びます。