「脅威」「リスク」「インシデント」の各定義をチェック
セキュリティに関する話題のなかでよく登場する、「脅威（Threat）」「リスク（Risk）」「インシデント（Incident）」というワード。
これらのワードについて、何となくは意味がイメージできているけれども、正確な意味やそれぞれの違いをあまり理解できていない…という方も多いのではないでしょうか？
そこで、以下にそれぞれのワードの意味・定義をまとめました。
自社の情報セキュリティについてしっかりと検討するためにも、ぜひそれぞれの言葉の意味と違いを正確に把握しておきましょう。
「脅威（Threat）」とは？
「脅威（Threat）」は“脅かすもの”“危険な存在”“脅し”といった意味を持つ言葉で、情報システムのセキュリティを脅かす原因となるものを指します。
情報システム安全対策基準（経済産業省から出されている情報システムの安全対策基準）のなかでは、この「脅威」について、以下のように列挙されていますが、近年ではとくにインターネットによる脅威に注目が集まっています。
- 地震や火災といった自然災害
- 停電や部品の劣化など、機器の誤動作・故障
- プログラムのエラーやコンピュータ操作のミスといった、人間による過失
- コンピュータウイルスや不正なアクセス、物理的破壊や盗難など、人間の故意
「リスク（Risk）」とは？
「リスク（Risk）」は“何らかの事態が生じることに対する不確実性”のことで、以下に挙げる2つに分類できます。
- 「純粋リスク」…損失のみが生じるリスク
- 「投機的リスク」…損失ないし利益が生じる可能性のあるリスク
実務的には、ひとつめに挙げた「純粋リスク」を対象に、上で解説した「脅威（Threat）」と同じような意味合いで用いられることが多いです。
脅威が想定される環境においてシステムに脆弱性（情報セキュリティ上の欠陥）があるケースで、「リスクが発生している状況」などと表現されます。
ただし、「リスク」は“可能性”であり、「脅威」は“要因”であるという正確な違いについてもしっかり理解しておきましょう。
「（セキュリティ）インシデント（Incident）」とは？
「インシデント（Incident）」は、“出来事”“事件”“事故”といった意味を持つ言葉です。
この日本語訳を見ると、不正ログインやコンピュータウイルスへの感染など、既に事態が生じた後をイメージする人が多いと思いますが、「（セキュリティ）インシデント」は、そうした事態が起こる前の状態（セキュリティ上の問題が起こりそうな状態）も含む言葉です。
また、セキュリティを脅かすものだけでなく、事業運営を危うくするものも対象となります。
さらに、サイバー攻撃だけでなく、パソコンの紛失やシステム障害、業務メールの誤送信、外部記憶装置（USBなど）の紛失といった、事故・事件も含みます。
まとめ
今回は、混同しがちな3つのワード「脅威」「リスク」「インシデント」について、それぞれの意味と違いを紹介しました。
より適切に自社の情報セキュリティ対策に取り組むためにも、ぜひこれらのワードの違いについて頭に入れておきましょう。
