脆弱性とは？ぜいじゃくせい
脆弱性とは、脅威に突かれると被害につながる、システムや運用に潜む弱点。プログラムの不具合（バグ・セキュリティホール）だけでなく、規程が整っていない・従業員に周知されていないといった人的脆弱性や、許可を得ずに業務で使われる機器・サービス（シャドーIT）も含まれる。脅威がこの脆弱性を突いたときに初めてインシデント（情報漏えいやシステム停止などの事故）が起きるため、対策の基本は脆弱性を減らすことになる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
攻撃者を止めようとする発想だけでは守りが立たない。誰が、いつ、どんな手口で来るかはこちらで選べないからである。一方、自分たちの側にある弱点は数え上げて塞ぐことができる。そこで、外から来る「脅威」と、自分たちが持つ「脆弱性」を分けて考え、手が届く脆弱性のほうを管理する形に整理された。OSの更新やパッチ適用が業務ルールとして求められるのはこのためで、試験でも利用者が行う脆弱性管理として問われる。
具体例
IPAはソフトウェアの脆弱性関連情報の届出制度を運用し、届け出られた内容をJVN（Japan Vulnerability Notes：脆弱性対策情報を公表するサイト）で公表している。利用者側の対応は、公表された脆弱性に対してWindows Updateなどでセキュリティパッチ（修正プログラム）を当てること、サポートの終了した古いソフトを使い続けないことに尽きる。
試験での引っ掛け
脆弱性は「弱点そのもの」、脅威は「それを突く側の要因（攻撃・災害・誤操作）」で、別の概念である。両者が掛け合わさって初めてリスクになる。またプログラムの技術的な欠陥だけを指すとすると誤りで、規程の未整備や教育不足といった人的な弱点も脆弱性に含まれる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成21年度 秋期 ITパスポート試験 問56（IPA）解説で登場
情報セキュリティポリシに関する記述のうち、適切なものはどれか。
正解：目標とするセキュリティレベルを達成するために、遵守すべき行為及び判断についての考え方を明確にすることが必要である。
要点：セキュリティポリシは組織全体の方針と判断基準を明示する
情報セキュリティポリシは、組織として守るべき情報セキュリティの方針と行動基準を定めた文書である。目指す水準を示し、そこへ至るために何を守り、判断に迷ったときにどう考えるかを明確にすることが目的となる。個別システムごとではなく組織全体を対象とし、脆弱性の内容は公表せずに管理すべき情報である。
出典：平成23年度 秋期 ITパスポート試験 問87（IPA）解説で登場
出典：平成24年度 秋期 ITパスポート試験 問60（IPA）
クロスサイトスクリプティングの特徴に関する記述として、適切なものはどれか。
正解：Webサイトに入力されたデータに含まれる悪意あるスクリプトを、そのままWebブラウザに送ってしまうという脆弱性を利用する。
要点：XSSは入力をそのまま出力する脆弱性を突く。対策は出力時のエスケープ
クロスサイトスクリプティングは、利用者の入力をそのままWebページに埋め込んで出力してしまう脆弱性を突く攻撃である。攻撃者が仕込んだスクリプトが閲覧者のブラウザで実行され、クッキーの窃取や偽の入力画面の表示などの被害を招く。対策は出力時のエスケープ処理である。
出典：平成24年度 春期 ITパスポート試験 問77（IPA）
クロスサイトスクリプティングとは、Webサイトの脆弱性を利用した攻撃である。クロスサイトスクリプティングに関する記述として、適切なものはどれか。
正解：Webページに、ユーザの入力データをそのまま表示するフォーム又は処理があるとき、第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。
要点：入力をそのまま出力する隙にスクリプトを埋め込むのがXSS
クロスサイトスクリプティングは、入力された文字列をそのまま画面に出力してしまうWebページの脆弱性を突き、攻撃者が用意したスクリプトを閲覧者のブラウザ上で実行させる攻撃である。これによりクッキーに保存されたセッション情報などが盗まれる。対策は出力時のエスケープ処理である。
出典：平成25年度 秋期 ITパスポート試験 問74（IPA）
ゼロデイ攻撃の説明として、適切なものはどれか。
正解：ソフトウェアに脆弱性が存在することが判明したとき、そのソフトウェアの修正プログラムがベンダから提供される前に、判明した脆弱性を利用して行われる攻撃
要点：ゼロデイ攻撃は修正プログラム提供前の空白期間を狙う
ゼロデイ攻撃は、脆弱性が明らかになってから修正プログラムが提供されるまでの、対策のない期間を狙って行われる攻撃である。利用者側に打つ手が乏しいため被害が広がりやすく、緩和策としては影響範囲の限定や監視の強化などが取られる。
出典・参考
公式シラバスの9 技術要素 ＞ 61. 情報セキュリティ ＞ (3) 脅威と脆弱性に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。