脆弱性

脆弱性（Vulnerability）は、脅威によって悪用又は誘発されると、情報資産の機密性・完全性・可用性等を損なう可能性がある、技術、設定、手順、組織、人、物理環境上の弱点です。

■ 試験で押さえるポイント

• ソフトウェア欠陥、未修正版、初期パスワード、過大権限、公開設定、職務分離不足、教育不足、施錠不備など、技術以外の弱点も含みます。

• 脅威は害を与え得る原因、脆弱性はその害を許す弱点、攻撃手法・コードは脆弱性を利用するエクスプロイト、リスクは可能性と影響の評価です。

• 資産台帳、脆弱性スキャン、構成検査、侵入テスト、レビュー、届出情報から発見し、深刻度だけでなく露出、悪用可能性、資産重要度で優先順位を決めます。

• 修正パッチ、設定変更、緩和策、隔離、機能停止、リスク受容を選び、適用後も再検査します。脆弱性が公表されていなくても弱点がないとは限りません。

■ 選択肢での判断ポイント

攻撃や事故を成立させる弱点が脆弱性です。マルウェアや攻撃者は脅威であり、脆弱性そのものではありません。

例: 管理画面がインターネット公開され、既定パスワードのままなら脆弱性です。アクセス制限とパスワード変更を行い、再検査で閉鎖を確認します。