シャドーIT

組織のIT部門の管理・許可なく、従業員が個人のデバイスやクラウドサービスを業務に使用すること。情報漏えいやセキュリティリスクの原因となる。

組織が把握・管理していない情報機器やクラウドサービスなどを、従業員が業務に利用すること。個人所有のスマートフォンや無許可のクラウドストレージの利用などが該当する。情報漏えいやセキュリティ事故のリスクを高める。

情報システム部門の許可を得ずに、従業員が業務で使っている機器やクラウドサービス。管理外のため脆弱性の把握も情報の追跡もできず、情報漏えいの温床となる。

従業員が情報システム部門の承認を得ずに業務で利用する機器やクラウドサービス。個人のオンラインストレージやチャットツールが典型で、管理外のため脆弱性の放置や情報漏えいの温床となる。CASBによる可視化が対策となる。

従業員が、情報システム部門の承認や管理を経ずに、個人で契約したクラウドサービスや私物の端末、アプリケーションを業務に使うこと。組織が把握できない場所に業務データが置かれるため、情報漏えいや不正アクセスの原因となり、CASBによる利用状況の可視化などで管理する。

ソフトウェア等の脆弱性情報を適切にハンドリングするための官民連携の枠組み。発見者がIPAに届出を行い、JPCERT/CCが開発者との調整を行った上で、JVNを通じて脆弱性情報を公開する。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧とその依存関係を記録したリスト。サプライチェーンにおけるソフトウェアの脆弱性管理に活用され、脆弱性が発見された際の影響範囲の特定を迅速化する。

ソフトウェアやOS等の脆弱性を修正するパッチの適用を管理するプロセス。パッチの情報収集、影響評価、テスト、適用、検証を計画的に行い、製品・サービスのセキュアな導入・運用を維持する。

プログラムが確保したバッファ（メモリ領域）の境界を超えてデータを書き込むことで、隣接するメモリ領域を破壊する脆弱性。スタック上のリターンアドレスを書き換えて任意のコードを実行される可能性がある。対策としてバッファサイズのチェック、安全な関数の使用、ASLR、DEP/NXビットの活用がある。

システムやアプリケーションに存在する既知の脆弱性を検出するテスト。ネットワーク脆弱性診断とWebアプリケーション脆弱性診断に大別され、ツール（スキャナー）による自動診断と、専門家による手動診断がある。定期的な実施が推奨される。

プログラムの入力に大量の予期しないデータ（ファズ）を自動的に生成・投入し、異常動作やクラッシュを引き起こすことで未知の脆弱性を発見するテスト手法。バッファオーバーフローやフォーマットストリング脆弱性などの検出に有効。