セキュリティの4つの基本概念
情報セキュリティを議論する際、次の4つの用語は、それぞれ異なる概念・役割を指しており、正確に使い分ける必要があります。
脆弱性（Vulnerability）
脆弱性は、システムやネットワークに存在する弱点そのものです。例えば、「ポートセキュリティが設定されていないスイッチポート」「既定の管理認証情報を変更せずに使用している状態」といった状態は、いずれも脆弱性にあたります。脆弱性は、それ自体では直ちに被害をもたらすわけではありませんが、悪用される可能性を秘めた「隙」です。
脅威（Threat）
脅威は、脆弱性を悪用した攻撃や、障害・災害・誤操作など、セキュリティ上の損害を引き起こし得る潜在的な原因・状況を指します。脅威源には攻撃者のような主体が含まれる場合もあります。脆弱性が存在していても、脅威が現実化しなければ、実害にはつながりません。
エクスプロイト（Exploit）
エクスプロイトは、脅威が脆弱性を実際に悪用するために使う具体的な手段・手口です。不正なスクリプト、細工されたパケット、総当たり攻撃（ブルートフォース）のツールなどが該当します。フィッシングメールは一般にはソーシャルエンジニアリングによる攻撃手法ですが、利用者の心理的な弱点を悪用する手段として用いられます。
軽減技術（Mitigation）
軽減技術は、脆弱性・脅威・エクスプロイトによるリスクを低減するための対策です。パッチの適用、ACLによるアクセス制限、802.1X認証、DHCPスヌーピングなどが該当します。
4つの概念の関係（具体例）
例えば、「推測可能なパスワードによるSSHへのアクセスを許可し、接続元やログイン試行回数を制限していないルータ」（脆弱性）に対して、インターネット上の攻撃者が認証情報を推測しようとする行為（脅威）があり、実際にブルートフォース攻撃のスクリプトを実行してログインを試みる（エクスプロイト）とします。これに対して、login block-forコマンドによるログイン試行回数制限、VTY回線へのACL適用、鍵ベース認証への切り替えといった対策（軽減技術）を講じることで、リスクを低減できます。
軽減技術の例：ログイン試行の制限（参考）
出題範囲5.1・5.2自体は「概念の定義・説明」であり設定コマンドは対象外ですが、上記の例で挙げたlogin block-forは、軽減技術の具体像をイメージしやすいコマンドのため、Cisco IOSでの例として参考として紹介します。対応状況や挙動は、プラットフォームおよびIOS/IOS XEのリリースによって異なる場合があります。
Router(config)# login block-for 120 attempts 3 within 60
Router(config)# login delay 1login block-for 120 attempts 3 within 60は、「60秒以内に3回ログインに失敗したら、以降120秒間のquiet modeに移行してログイン試行をブロックする」という設定です。quiet-mode access listを設定すると、特定の接続元を例外として許可できます。ブルートフォース攻撃のように短時間で大量のログイン試行を繰り返す手口に対して、単純ながら効果的な軽減技術です。login delayは、連続するログイン試行の間に強制的に待ち時間（秒）を挟み、総当たり攻撃の速度そのものを遅くする設定です。
セキュリティプログラムの要素
技術的な対策だけでなく、組織全体でセキュリティを維持していくためのセキュリティプログラムにも、重要な要素があります。
ユーザー認識（User Awareness）
ユーザー認識プログラムは、従業員・委託先を含むすべての利用者に対して、セキュリティの重要性を理解してもらうための取り組みです。パスワードの適切な管理方法、フィッシングメールの見分け方、不審な事象を発見した際の報告手順などを周知します。技術的な対策がどれだけ整っていても、利用者の不注意な行動（フィッシングメールのリンクを開いてしまう等）が原因でセキュリティが破られるケースは少なくないため、人的な要素への対策として重要視されています。
トレーニング（Training）
トレーニングは、ユーザー認識よりも踏み込んだ、体系的な教育プログラムです。基本的なセキュリティの考え方から、より高度なネットワーク防御・インシデント対応の手順まで、対象者の役割に応じた内容が含まれます。インシデント対応の一般的な流れには、準備→検知・分析→封じ込め・根絶・復旧→事後活動という段階があります。
物理的なアクセス制御（Physical Access Control）
物理的なアクセス制御は、建物・データセンター・サーバールームといった物理的な空間や、そこに設置された機器へ、誰がアクセスできるかを制限する対策です。監視カメラ、ICカードによる入退室管理、警備員の配置、生体認証（指紋認証等）による入室制限などが代表例です。物理的に機器へ触れられると、設定の変更やデータの持ち出しといった被害のリスクが高まります。暗号化や管理認証などの追加対策で被害を軽減できる場合もありますが、物理的なアクセス制御はネットワークセキュリティと並ぶ重要な要素として位置づけられています。