脆弱性とは？ぜいじゃくせい
脆弱性とは、脅威につけ込まれる弱点そのもので、単体では被害を生まないが、脅威と結び付いたときにリスクとなるもの。ソフトウェアのバグやセキュリティホールだけでなく、規程の不備、教育不足、内部統制の不備、管理外の機器やサービスを業務に使うシャドーITといった人的・組織的な弱点も含む。攻撃者や災害という脅威は減らせないが、脆弱性は組織の努力で塞げるため、対策はこちらに向けられる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
「危ない」という漠然とした感覚のままでは、何にいくら予算を付ければよいかが決まらない。そこで外から来る要因である脅威と、自組織の側にある弱点である脆弱性を切り分ける考え方が定着した。台風や攻撃者そのものを消すことはできないが、自分たちの穴なら塞げるからである。試験がこの区別を執拗に問うのは、利用部門のリーダーが「自分たちで打てる手はどれか」を判断し、上長に説明する立場にいるためである。
具体例
IPAとJPCERT/CCが共同運営するJVNでは、製品ごとの脆弱性がCVE番号付きで公表されている。自社が使っているソフトウェアが載っていないかを定期的に確認し、修正プログラムの有無を調べる作業が技術的な脆弱性への対応にあたる。一方、退職者のアカウントが削除されないまま残っている状態は、台帳運用の側にある脆弱性である。
試験での引っ掛け
脅威との混同が定番。攻撃者・地震・誤操作は脅威であり、それを被害に結び付けてしまう弱点が脆弱性である。両方がそろって初めてリスクになるので、脅威が消えなくても脆弱性を潰せばリスクは下がる。またソフトウェアの欠陥だけを脆弱性と考えると、規程不備や教育不足を選択肢から外して誤答する。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問4（IPA）
JVN（Japan Vulnerability Notes）はどれか。
正解：脆弱性対策情報などを提供するポータルサイト
要点：JVNは脆弱性対策情報を公開する国内ポータルサイト
JVNはJPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトで、届出のあった脆弱性とその対策情報を「JVN#」や「JVNVU#」といった番号を付けて公開している。利用者は製品名から自分に関係する脆弱性を検索し、対策の適用状況を判断できる。脆弱性そのものの識別子であるCVEや、深刻度の評価手法であるCVSSとは役割が異なる。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）解説で登場
クロスサイトスクリプティングの手口はどれか。
正解：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
要点：XSSは他人のブラウザで悪意のスクリプトを実行させる
クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問24（IPA）解説で登場
スクリプトキディの典型的な行為に該当するものはどれか。
正解：技術不足なので新しい攻撃手法を考え出すことはできないが、公開された方法に従って不正アクセスを行う。
要点：スクリプトキディは公開ツールをなぞって攻撃する者
スクリプトキディとは、自ら攻撃手法を編み出す技術力はないものの、インターネット上で公開されている攻撃ツールや手順書をそのまま使って不正アクセスを試みる者を指す。技術力が低くても既製のツールで実害を出せてしまうのが問題で、既知の脆弱性の修正パッチを適用しておくだけでも大半は防げる。人をだます手口であるソーシャルエンジニアリングとは区別する。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問13（IPA）解説で登場
クライアントとWebサーバの間において、クライアントからWebサーバに送信されたデータを検査して、SQLインジェクションなどの攻撃を遮断するためのものはどれか。
正解：WAF
要点：WAFはHTTPの中身を検査してWebアプリへの攻撃を遮断する
WAF（Web Application Firewall）は、HTTPリクエストの中身を解析し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を突く攻撃パターンを検出して遮断する。通常のファイアウォールが見ないアプリケーション層のデータを検査する点が特徴である。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問14（IPA）
PCで行うマルウェア対策のうち、適切なものはどれか。
正解：PCの脆弱性を突いたウイルス感染が起きないように、OS及びアプリケーションの修正パッチを適切に適用する。
要点：マルウェア対策の基本はOSとアプリの修正パッチ適用
多くのマルウェアはOSやアプリケーションの既知の脆弱性を悪用して侵入する。したがって修正パッチを速やかに適用し、悪用可能な穴を残さないことが基本かつ効果の高い対策となる。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ 情報セキュリティの重要性に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。