1.2脅威と脆弱性（人的・技術的・物理的脅威、内部不正と過失）

情報セキュリティの管理策を考えるとき、「何から守るか」を正しく分類できていないと対策が的外れになります。脅威は情報資産に損害を与えうる原因であり、大きく人的・技術的・物理的の3種類に分けられます。しかし脅威だけではリスクは生まれず、脅威につけ込まれる弱点である脆弱性がそろって初めてリスクが顕在化します。この節では脅威の分類を整理したうえで、SGが特に重視する組織内部に起因するリスク（内部不正・過失）を掘り下げます。

1.2.1脅威の3分類

• 人的脅威＝人の行為に起因する脅威。意図的なもの（不正アクセス・盗難・内部不正）と非意図的なもの（過失）（誤送信・設定ミス・紛失）の両方を含む。技術的脅威＝マルウェア感染・不正アクセス・DoS攻撃等、システムやネットワークの技術的な仕組みを悪用する脅威。
• 物理的脅威＝地震・火災・水害等の環境的要因、および設備の破壊・盗難・不正侵入等の物理的な行為による脅威。サーバ室への入退室管理や施錠は物理的脅威への対策であり、技術的対策（ファイアウォール等）だけでは防げない点に注意。
• 脅威と脆弱性の関係＝脆弱性は脅威につけ込まれる弱点（設定不備・パッチ未適用・教育不足・施錠忘れ等）。脅威が存在しても対応する脆弱性がなければリスクは顕在化しない（例：地震という脅威があっても耐震設計済みのサーバ室なら被害は限定的）。逆に脆弱性があっても脅威が及ばなければ同様にリスクは低い。

1.2.2内部不正と過失の管理

• 内部不正＝組織内部の従業員・委託先の担当者等が、正規のアクセス権限を悪用して情報を持ち出す・改ざんする等の不正行為。「動機」「機会」「正当化」の3要素（不正のトライアングル）がそろうと発生しやすいとされ、権限の集中を避ける職務分離やアクセスログの監視が抑止策になる。
• 過失＝故意ではなく不注意によって発生するリスク（メール誤送信・USBメモリの紛失・設定ミスによる意図しない公開設定等）。内部不正と過失は「意図の有無」で区別されるが、いずれも組織内部の人間が原因である点は共通しており、教育・訓練とダブルチェック体制の両方が有効な対策になる。
• SGの管理視点では、技術的脅威（外部攻撃）への対策だけに偏らず、内部不正・過失という「組織内部に起因するリスク」を体系的に評価・管理することが求められる。IPAの調査でも情報漏えいの原因の相当数が誤操作・紛失・盗難といった過失・内部要因に起因するとされている。

ある製造業の情報システム部門が、過去1年間に発生した3件のインシデントを分析する場面を想定しましょう。1件目は、経理担当者が正規の権限を使って顧客データベースから大量の個人情報を抽出し、退職直前に外部の記憶媒体へコピーして持ち出した事案です。この担当者はアクセス権限自体は正規に付与されていたため技術的な不正アクセスではなく、内部不正に分類されます。原因分析では、当該担当者が異動や評価に不満を持っていた（動機）、単独作業でダブルチェックがなかった（機会）、「どうせ誰も見ていない」と考えていた（正当化）という不正のトライアングルが揃っていたことが判明し、対策として職務分離（データ抽出とチェックを別担当者に分ける）とアクセスログの定期監視を導入します。2件目は、別の担当者が顧客への一斉メール送信時に宛先をCCで入力してしまい、全員のメールアドレスが他の受信者に見える形で漏えいした事案です。これは悪意のない過失であり、対策として送信前の複数人チェック体制とBCC強制のシステム設定を導入します。3件目は、サーバ室の空調設備が故障して機器が高温停止した事案で、これは物理的脅威（設備故障）に分類され、空調の二重化と温度監視アラートが対策となります。この3件を比較すると、同じ「情報セキュリティインシデント」でも原因が人的（意図的/非意図的）か物理的かによって、有効な対策がまったく異なることが分かります。管理者は原因を正しく分類したうえで、それぞれに適した管理策を講じる必要があります。

1.2.3この節のまとめ

• 脅威は人的・技術的・物理的の3分類。リスクは脅威×脆弱性がそろって顕在化する
• 内部不正（意図的）と過失（非意図的）は原因も対策も異なる。不正のトライアングル＝動機・機会・正当化
• 内部不正の抑止策は職務分離・アクセスログ監視・権限の定期棚卸し