脆弱性とは？ぜいじゃくせい
脆弱性とは、脅威につけ込まれる側の弱点。ソフトウェアの実装上の欠陥に限らず、規程の不備・権限設定の甘さ・教育不足といった人と運用の弱さも含む。単独では被害を生まず、それを突く脅威と組み合わさって初めてリスクとして現れる点が、この語の位置づけを決めている。
最終更新：2026-10-06
この語が出る過去問を解く →背景
情報セキュリティのリスクを見積もるには、外から来る脅威と、それを受け止める側の弱さを分けて数える必要がある。地震や攻撃者、機器の故障といった脅威そのものは自分の力で減らせないが、脆弱性は設計と運用で減らせる——だから対策はこちら側に打つ、という分業のための概念である。だからこそ、技術的な欠陥だけに範囲を狭めると打てる手を取りこぼす。
具体例
未適用のセキュリティパッチ、退職者のアカウントが有効なまま残っているデータベースの利用者、開発環境に本番のデータを暗号化せずに置いている運用は、いずれも脆弱性にあたる。最後の一つは製品の欠陥ではなく手順の欠陥である。
試験での引っ掛け
「脅威×脆弱性＝リスク」の関係で問われるが、脅威と脆弱性の取り違えが最も多い。マルウェアや内部不正といった被害をもたらす事象や主体が脅威、それを許してしまう側の弱さが脆弱性で、パッチ未適用は脆弱性、それを狙う攻撃が脅威にあたる。同じ脆弱性でも、狙う脅威が存在しない環境ではリスクとして顕在化しない点も押さえておく。
関連用語
出た過去問
出典：令和2年度 10月試験 データベーススペシャリスト試験 午前Ⅱ 問19（IPA）
エクスプロイトコードの説明はどれか。
正解：攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。
要点：エクスプロイトコードは脆弱性を突く攻撃・実証コード
エクスプロイトコードは、ソフトウェアの脆弱性を突いて意図しない動作を起こさせる実証用・攻撃用のコードである。攻撃に使われる一方で、脆弱性が本当に悪用可能かを検証したり対策の効果を確かめたりする目的にも用いられる。よってアが正しい。
出典：令和5年度 秋期 データベーススペシャリスト試験 午前Ⅱ 問21（IPA）
情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。
正解：ソフトウェアやハードウェアの脆弱性を検査又は攻撃するために作成されたプログラム
要点：エクスプロイトコードは脆弱性を突く検査・攻撃用プログラム
エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を突いて意図しない動作を起こさせるために作られたプログラムである。攻撃に使われる一方で、脆弱性が実際に悪用可能かを検査する目的でも用いられる。よってエが該当する。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。