読み：ぜいじゃくせい ／ 分野：IT・システム
ソフトウェアやシステムに存在する、悪用されると被害につながる設計・実装上の欠陥のことです。
脆弱性とは、ソフトウェアやシステムに存在する設計上・実装上の欠陥で、第三者に悪用されると情報漏洩やシステム停止などの被害につながるものです。放置すると攻撃の入口になるため、発見と対応が継続的に求められます。
意味
脆弱性は、プログラムの不具合や設計ミス、設定の誤りなど、さまざまな原因で生まれます。たとえば入力内容を適切に確認しないまま処理すると、想定外のデータを送り込まれてシステムを不正に操作される恐れがあります。また、古いバージョンのソフトウェアを使い続けることで、既に知られている欠陥がそのまま残ることもあります。脆弱性が見つかると、公的機関や開発元が「CVE」と呼ばれる識別番号を付けて情報を公開し、深刻度は「CVSS」という指標で数値化されます。これにより、どの脆弱性を優先して対応すべきかを判断しやすくなっています。発見された脆弱性に対しては、開発元が修正プログラム（パッチ）を配布し、利用者がそれを適用することで被害を防ぎます。
使われる場面と具体例
- 情報システム担当者が、社内で使うソフトウェアの更新情報を確認し、脆弱性を修正するパッチを計画的に適用する場合。
- Webサイトの運営者が、外部の診断サービスを使って自社サイトに脆弱性がないかを定期的に点検する場合。
- 取引先から「使用している製品に脆弱性がある」と連絡を受け、影響範囲を調べて対応の要否を判断する場合。
中小企業が押さえたい点
- 使用しているOSやソフトウェアを常に最新の状態に保ち、サポートが終了した製品（EOL）は早めに切り替えることが基本です。
- 自社で開発・委託しているシステムについては、納品時や定期的なタイミングで脆弱性診断を実施できるか委託先に確認します。
- 脆弱性情報が公開された際に、自社が影響を受けるかどうかを判断し対応する担当者や手順を、あらかじめ決めておくと混乱を防げます。
よくある誤解
- 「脆弱性はウイルスの一種だ」と誤解されることがありますが、脆弱性は欠陥そのものであり、それを悪用する攻撃やマルウェアとは別のものです。
- 「新しいシステムだから脆弱性はない」と考えがちですが、新しいソフトウェアにも未発見の欠陥が潜んでいる可能性は常にあります。
よくある質問
Q. 脆弱性が見つかったら必ず被害が出ますか。
A. 見つかっただけでは被害は発生しません。ただし放置すると悪用されるリスクが高まるため、早めの対応が重要です。
Q. 自社に脆弱性があるかどうかはどう確認できますか。
A. 専門業者による脆弱性診断や、ソフトウェア提供元が公開する更新情報の確認が一般的な方法です。
Q. 修正パッチを適用すれば安心できますか。
A. 既知の脆弱性への対応にはなりますが、新たな脆弱性は継続して見つかるため、恒常的な点検と更新が必要です。
関連する用語
関連記事
ほかの用語を探す
