脆弱性診断

システムやネットワークに存在する脆弱性を自動ツールや手動で検査し、発見する診断活動。定期的に実施し、発見した脆弱性に対する対策を講じる。

システムやWebアプリケーションを検査し、既知の脆弱性や設定の不備を洗い出す作業。網羅的に弱点を見つけることを目的とし、実際に侵入を試みるペネトレーションテストとは目的が異なる。

システムやアプリケーションを検査し、既知の脆弱性や設定不備が存在しないかを網羅的に洗い出す活動。ツールによる自動スキャンと技術者による手動診断があり、結果はCVSSなどで深刻度を付けて対策の優先順位付けに用いる。

情報システムやネットワークに存在する脆弱性を体系的に検出・評価する活動。脆弱性スキャナによる自動検査やペネトレーションテストなどの手法を用いて、セキュリティ上の弱点を特定する。

システムやアプリケーションに存在する既知の脆弱性を検出するテスト。ネットワーク脆弱性診断とWebアプリケーション脆弱性診断に大別され、ツール（スキャナー）による自動診断と、専門家による手動診断がある。定期的な実施が推奨される。

システムやアプリケーションに存在する既知の脆弱性を検出するテスト。ネットワーク脆弱性診断とWebアプリケーション脆弱性診断に大別され、ツール（スキャナー）による自動診断と、専門家による手動診断がある。定期的な実施が推奨される。

システムやアプリケーションに既知の脆弱性や設定の不備がないかを、ツールや手作業で網羅的に検査すること。Webアプリケーション診断、ネットワークやOSを対象とするプラットフォーム診断などがあり、リリース前や定期的に実施して、見つかった問題を深刻度とともに報告し修正につなげる。実際に侵入を試みて目的を達成できるかを確かめるペネトレーションテストとは目的が異なる。

ソフトウェアやシステムに存在するセキュリティ上の欠陥や弱点。攻撃者に悪用されると、不正アクセスや情報漏えいなどのセキュリティインシデントにつながる。セキュリティパッチの適用やバージョンアップで修正する。

組織が把握・管理していない情報機器やクラウドサービスなどを、従業員が業務に利用すること。個人所有のスマートフォンや無許可のクラウドストレージの利用などが該当する。情報漏えいやセキュリティ事故のリスクを高める。

脆弱性の深刻度を0.0〜10.0の数値で評価するための共通基準。基本評価基準（脆弱性そのものの特性）、現状評価基準（時間の経過による変化）、環境評価基準（利用環境による影響）の3つの指標で構成される。

攻撃者の視点でシステムに擬似的な攻撃を行い、セキュリティの弱点を検証するテスト。脆弱性診断で見つかった脆弱性が実際に悪用可能かどうかを確認し、攻撃による影響範囲を評価する。侵入テストとも呼ばれる。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧情報。ソフトウェアサプライチェーンの透明性を確保し、使用しているコンポーネントの脆弱性を迅速に把握するために活用される。

情報システムにおけるセキュリティ上の弱点や欠陥の総称。ソフトウェアのバグ、設定の不備、設計上の問題など、脅威によって悪用される可能性のある箇所を指す。