脆弱性
更新日:
用語解説
（Vulnerability）は、脅威によって悪用又は誘発されると、情報資産の機密性・完全性・可用性等を損なう可能性がある、技術、設定、手順、組織、人、物理環境上の弱点です。
■ 試験で押さえるポイント
ソフトウェア欠陥、未修正版、初期パスワード、過大権限、公開設定、職務分離不足、教育不足、施錠不備など、技術以外の弱点も含みます。
脅威は害を与え得る原因、脆弱性はその害を許す弱点、攻撃手法・コードは脆弱性を利用するエクスプロイト、リスクは可能性と影響の評価です。
資産台帳、脆弱性スキャン、構成検査、侵入テスト、レビュー、届出情報から発見し、深刻度だけでなく露出、悪用可能性、資産重要度で優先順位を決めます。
修正パッチ、設定変更、緩和策、隔離、機能停止、リスク受容を選び、適用後も再検査します。脆弱性が公表されていなくても弱点がないとは限りません。
■ 過去問での着眼点
攻撃や事故を成立させる弱点が脆弱性です。マルウェアや攻撃者は脅威であり、脆弱性そのものではありません。
例: 管理画面がインターネット公開され、既定パスワードのままなら脆弱性です。アクセス制限とパスワード変更を行い、再検査で閉鎖を確認します。