1.2脅威と脆弱性

セキュリティリスクは「脅威（危害を及ぼす主体・事象）」と「脆弱性（危害が成立してしまう弱点）」が揃って初めて現実化します。セキュリティ設計者はこの2つを分けて評価しなければ、有効な対策を選べません。例えば「地震」は脅威ですが、耐震設計されたデータセンターでは脆弱性が小さく被害は限定的です。この節では脅威と脆弱性を切り分けて評価し、どこに対策資源を投じるべきかを判断する視点を養います。

1.2.1脅威の分類（物理的・人的・技術的）

• 物理的脅威＝地震・火災・停電・機器の盗難・破壊など、物理的な要因による脅威。対策は耐震・防火設備、UPS（無停電電源装置）、入退室管理など。
• 人的脅威＝操作ミス・情報の紛失・内部不正・ソーシャルエンジニアリングなど、人が関与する脅威。対策は教育訓練・権限の最小化・内部統制など。
• 技術的脅威＝マルウェア感染・不正アクセス・DoS攻撃など、技術的手段による脅威。対策はパッチ管理・ファイアウォール・侵入検知/防御システム（IDS/IPS）など。

1.2.2脆弱性の分類（バグ・セキュリティホール・人的脆弱性・シャドーIT）

• バグ＝プログラムの実装上の欠陥。そのうち攻撃者に悪用され得るものがセキュリティホール（セキュリティ上の欠陥）で、パッチ適用・脆弱性管理で対処する。
• 人的脆弱性＝パスワードの使い回し・安易な設定・セキュリティ意識の欠如など、人に起因する弱点。技術対策だけでは防げず、教育・訓練・ポリシー整備が必要になる。
• シャドーIT＝情報システム部門の許可・管理を経ずに従業員が業務で使う私物端末・未承認クラウドサービス等。可視化されていないため脆弱性管理の対象から漏れやすく、情報漏えい・マルウェア侵入の温床になり得る。

1.2.3OWASP Top10と不正のトライアングル

• OWASP Top10＝OWASP（Open Worldwide Application Security Project）が公表する、Webアプリケーションで発生頻度・影響度が高い脆弱性類型トップ10のリスト。アクセス制御の不備・暗号化の失敗・インジェクションなどが継続的に上位に挙がり、開発現場でのセキュアコーディングの優先順位付けに使われる。
• 不正のトライアングル＝内部不正が発生する条件を「機会（不正を行える環境がある）」「動機（不正を行う理由・プレッシャーがある）」「正当化（自分の不正を正当だと思い込む）」の3要素が揃うことで説明するモデル。3要素のいずれか一つでも欠ければ不正は起きにくいため、それぞれを低減する対策（機会→権限分離・監視、動機→待遇改善、正当化→倫理教育）が抑止に有効。

あるシステム開発会社のセキュリティ設計者が、新規のWebアプリ開発プロジェクトでどこにセキュリティ対策の予算と工数を優先的に投じるかを検討しているとします。まず脅威と脆弱性を切り分けて考えます——このアプリは外部公開のECサイトなので、想定される脅威は主に「技術的脅威（不正アクセス・インジェクション攻撃）」であり、地震などの物理的脅威はデータセンター側の既存対策で概ねカバーされています。次に脆弱性面では、OWASP Top10を参照すると「アクセス制御の不備」「インジェクション」が継続的に上位を占めるため、設計者は認可ロジックのレビューと入力値検証の自動テストに工数を重点配分する判断を下します。並行して、開発チームの一部が正式な社内システムを使わず個人のクラウドストレージにソースコードをバックアップしている（シャドーIT）ことが判明したとします。これは技術的な脆弱性ではなく管理外の運用実態であり、パッチ管理では対処できません。設計者は「なぜそうしているか」の動機（社内システムが使いにくい）を聞き取り、正規ツールの利便性を改善しつつ利用を義務化する（機会の低減）という不正のトライアングルの発想を応用した対策を選びます。単に規則で禁止するだけでは、動機（不便さ）が残る限り別の抜け道（別のシャドーIT）が生まれるリスクが高いためです。このように、脅威・脆弱性・OWASP・不正のトライアングルはいずれも「対策資源をどこに、どの順序で投じるか」を判断するための分析フレームとして機能します。

1.2.4この節のまとめ

• 脅威（外的要因）×脆弱性（内的弱点）=リスク。脅威は物理的・人的・技術的に分類できる
• シャドーITは管理・可視化の欠如という運用上の脆弱性で、バグとは性質が異なる。OWASP Top10はWebアプリの脆弱性優先順位付けに使う
• 不正のトライアングル＝機会・動機・正当化が揃うと内部不正が起きやすい。いずれかを低減して抑止する