脆弱性とは？ぜいじゃくせい
脆弱性とは、攻撃や事故などの脅威に付け込まれると被害につながる、情報システムや組織の側にある弱点。プログラムの欠陥（セキュリティホール）のような技術的な弱点だけでなく、パスワードの使い回し、規程や教育が不十分なことといった人や組織の弱点も含む。脅威と脆弱性がそろったときにリスク（被害が起きる可能性）が生じるので、自分たちで手を打てる脆弱性を減らすことが対策の中心になる。基本情報技術者試験では、Webアプリケーションの脆弱性を突く攻撃（SQLインジェクションなど）の仕組みと対策、脆弱性を見つける手法（ファジング、脆弱性診断）、見つかった脆弱性の情報を集めて修正プログラムを当てる管理の手順が問われる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
攻撃者や災害は外からやって来るもので、いつどこから来るかをこちらで決めることはできない。守る側が確実に手を付けられるのは、自分たちのシステムや運用の中にある弱点のほうである。そのため、危険を「外から来る要因（脅威）」と「内側にある弱点（脆弱性）」に分け、弱点を見つけて塞ぐことで被害の可能性を下げるという考え方が、情報セキュリティの基本として整理された。
具体例
2021年12月には、Javaで作られた多くのシステムがログ（動作の記録）の出力に使っていたApache Log4jに、外部から送り込んだ文字列で任意のプログラムを実行させられる脆弱性（通称Log4Shell）が見つかった。日本ではJPCERT/CCとIPAが共同で運営するJVN（脆弱性対策情報ポータルサイト）などで情報が公開され、各社は自社のシステムが該当するかを調べて、修正版に入れ替える対応に追われた。
試験での引っ掛け
脅威と脆弱性の取り違えが定番。不正アクセスをたくらむ攻撃者、地震、誤操作は脅威であり、それに付け込まれる弱点が脆弱性である。脆弱性を「プログラムの欠陥だけ」と考えると、規程の不備や教育不足を選択肢から外して誤る。また、脆弱性を探す手法のうち、ファジングは想定外のデータを大量に入力して異常な動きが起きないかを観測する手法で、ソースコードが手元になくても実施できる。「ソースコードを読んで調べる手法」と書かれていたら別の手法の説明である。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 秋期 基本情報技術者試験 午前 問42（IPA）解説で登場
CSIRTの説明として、適切なものはどれか。
正解：企業内・組織内や政府機関に設置され、情報セキュリティインシデントに関する報告を受け取り、調査し、対応活動を行う組織の総称である。
要点：CSIRTはセキュリティ事故の受付・調査・対応を担うチーム
CSIRT（Computer Security Incident Response Team）は、組織内で発生した情報セキュリティ事故の届出を受け付け、原因を調査し、封じ込めや復旧、再発防止までの対応を担うチームの総称である。企業内、政府機関、地域単位など設置形態は様々で、平時には脆弱性情報の収集や注意喚起も行う。
出典：平成29年度 秋期 基本情報技術者試験 午前 問45（IPA）
コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。
正解：ペネトレーションテスト
要点：ペネトレーションテストは実際に侵入を試みて脆弱性を確かめる
ペネトレーションテストは、実際に攻撃者と同じ手口でシステムへの侵入を試み、防御が突破できるかを確かめる検査手法である。机上のチェックでは見つからない設定不備や脆弱性の組合せを実証的に洗い出せる。実施にあたっては対象システムの所有者から事前に承認を得る必要がある。
出典：平成30年度 春期 基本情報技術者試験 午前 問36（IPA）解説で登場
ドライブバイダウンロード攻撃に該当するものはどれか。
正解：利用者が公開Webサイトを閲覧したときに、その利用者の意図にかかわらず、PCにマルウェアをダウンロードさせて感染させる。
要点：ドライブバイダウンロードは閲覧だけで感染させる攻撃
ドライブバイダウンロード攻撃は、改ざんされたWebサイトなどを閲覧しただけで、利用者が気付かないうちにマルウェアが自動的にダウンロード・実行される攻撃である。ブラウザやプラグインの脆弱性が悪用されるため、修正プログラムの適用が有効な対策となる。
出典：平成30年度 春期 基本情報技術者試験 午前 問42（IPA）解説で登場
セキュリティバイデザインの説明はどれか。
正解：システムの企画・設計段階からセキュリティを確保する方策のことである。
要点：セキュリティバイデザインは企画・設計段階から作り込む
セキュリティバイデザインは、システムの企画・設計という上流の段階からセキュリティを組み込む考え方である。完成後に対策を後付けするより、脆弱性の作り込みを防ぎ、手戻りや対策費用を抑えられる。
出典：平成31年度 春期 基本情報技術者試験 午前 問41（IPA）解説で登場
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベルは結果の大きさと起こりやすさの組合せ
リスクレベルとは、ある事象が起きたときの結果の重大さと、その起こりやすさとを組み合わせて表したリスクの大きさである。リスクアセスメントでは、この二つの軸で各リスクを評価し、対応の必要性を判断する。弱点そのものは脆弱性、評価の目安となる条件はリスク基準と呼ばれ、いずれも別の用語である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。