脆弱性（vulnerability）とは

[セキュリティ・キャンプ実施協議会，＠IT]

　「JIS 27000:2014」における定義を採用するならば、脆弱（ぜいじゃく）性（vulnerability）とは「1つ以上の脅威によって付け込まれる可能性のある、資産または管理策の弱点」である。

　脆弱性に対する「脅威」（threat）とは、「システムまたは組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」（JIS 27000）のことを言う。

　ここで、「インシデント」は、原義としては「中断・阻害、損失、緊急事態、危機に、なり得るまたはそれらを引き起こし得る状況」（ISO22300）のことであるが、「事故」が起こる一歩手前の状況または、それが表面化した状況を指す言葉として用いられることが多い。

　脆弱性に対する「資産（情報資産）」とは、情報および情報システムのことをいう。具体的には、技術情報や顧客情報、ハードウェアやソフトウェアなどが含まれる。

　「管理策」は、「リスクを修正する対策」であり、「リスクを修正するためのあらゆるプロセス、方針、仕掛け、実務およびその他の処置を含む」ものである（JIS 27000）。

　ここでは、セキュリティパッチのようなソフトウェアレベルの対策だけではなく、業務プロセスの改善なども含まれる点に注意すべきである。

　最後に脆弱性を突いた攻撃（脅威）の具体例を挙げる。本用語辞典に掲載中の用語において、脆弱性を利用した攻撃は次の通りである。

• a
  • ポートスキャン
  • ブルートフォースアタック
  • 踏み台
  • DDoS攻撃
  • DoS攻撃
  • Forceful Browsing
  • IPスプーフィング
• b
  • ソーシャルエンジニアリング
  • なりすまし
  • トロイの木馬
  • フィッシング

　aに分類した攻撃は、システムやソフトウェアの仕様上、そのように振る舞うことは正しいのだが、それが攻撃（脅威）につながってしまうことを特徴とする。

　bに分類した攻撃は、人間の心理に付け込むことを特徴とする。被害者となる人間は自分が目にしているもの、耳にしていることが「自分をだまそうとしている」と思わずに、相手が提示するものを信用してしまう傾向があるが、この種の攻撃はそうした性質を悪用するものである。

関連用語

■セキュリティホール

■更新履歴

【2004/1/1】初版公開。

【2018/3/26】最新情報に合わせて内容を書き直しました（セキュリティ・キャンプ実施協議会 著）。