脆弱性

脅威に付け込まれる可能性のある、情報資産や管理策の弱点。ソフトウェアの不具合（セキュリティホール）だけでなく、規程の不備や教育不足といった人的・組織的な弱点も含まれる。

脅威につけ込まれる弱点。ソフトウェアの不具合（セキュリティホール）だけでなく、規程の不備、教育不足といった人的・組織的な弱さも含む。脅威と脆弱性がそろうとリスクが現実化する。

脅威に付け込まれる情報資産側の弱点。プログラムの不具合や設定不備といった技術的なものだけでなく、教育不足などの人的脆弱性、施錠の不備といった物理的脆弱性も含む。脅威と脆弱性がそろって初めて損害が生じうる。

脅威に付け込まれる可能性がある、情報資産や管理策の弱点。ソフトウェアや機器の設計・実装上の欠陥（セキュリティホール）だけでなく、設定の不備や運用手順の不備も含む。ネットワークでは、ポートスキャンなどの脆弱性検査で不要に開いているポートや古いバージョンのサービスを洗い出し、パッチの適用や不要なサービスの停止で対処する。

一つ以上の脅威によって付け込まれる可能性がある、資産又は管理策の弱点。技術的な欠陥だけでなく、運用手順の不備や人的な弱点も含まれる。脅威と脆弱性の組み合わせによりリスクが顕在化する。

一つ以上の脅威によって付け込まれる可能性がある、資産や管理策の弱点。ソフトウェアの不具合や設定の不備といった技術的なものだけでなく、規程の不備や教育の不足などの管理的なもの、人の不注意などの人的なもの、施錠の不備などの物理的なものも含む。

ソフトウェアやシステムに存在するセキュリティ上の欠陥や弱点。攻撃者に悪用されると不正アクセスや情報漏えいにつながるため、修正パッチの適用が必要。

プログラムが確保したバッファ（メモリ領域）の境界を超えてデータを書き込むことで、隣接するメモリ領域を破壊する脆弱性。スタック上のリターンアドレスを書き換えて任意のコードを実行される可能性がある。対策としてバッファサイズのチェック、安全な関数の使用、ASLR、DEP/NXビットの活用がある。

組織が把握・管理していない情報機器やクラウドサービスなどを、従業員が業務に利用すること。個人所有のスマートフォンや無許可のクラウドストレージの利用などが該当する。情報漏えいやセキュリティ事故のリスクを高める。

脆弱性の深刻度を0.0〜10.0の数値で評価するための共通基準。基本評価基準（脆弱性そのものの特性）、現状評価基準（時間の経過による変化）、環境評価基準（利用環境による影響）の3つの指標で構成される。

システムやネットワークに存在する脆弱性を検出するための診断。自動スキャンツールや手動検査により、セキュリティホールや設定不備を洗い出す。定期的に実施することで、セキュリティレベルの維持・向上を図る。

攻撃者の視点でシステムに擬似的な攻撃を行い、セキュリティの弱点を検証するテスト。脆弱性診断で見つかった脆弱性が実際に悪用可能かどうかを確認し、攻撃による影響範囲を評価する。侵入テストとも呼ばれる。