脆弱性とは？意味・種類・具体的な対策を3分で理解【図解あり】

情報セキュリティやソフトウェアなどについて調べているとよく見かける「脆弱性」という言葉。文字を見れば何となく意味は分かるものの、具体的に脆弱性とは何かを説明できるかと言われると、意外と難しく感じるのではないでしょうか？

また、実際に今お使いのソフトウェアや自社で運用している Web サービスなどに脆弱性があると、情報漏えいなどの事故を引き起こす可能性があります。

そこで本記事では、脆弱性の意味や脆弱性が生まれる原因、脆弱性が引き起こすリスクの例、主な対策を解説します。

SecureNaviを活用して、ISMS認証の取得や運用の工数を軽減しませんか？

SecureNaviは、ISMS認証やPマークの取得や運用を効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒SecureNaviのサービス紹介資料をダウンロードする

脆弱性とは？

脆弱性とは、簡単にいうとコンピュータの OS やソフトウェア、アプリケーションなどのプログラムの弱点のことです。

構築されたプログラムに不具合や設計上のミスや、ソフトウェア・ウイルスセキュリティソフトのアップデートを怠っていたことなどが脆弱性（=弱点）を生み、不正アクセスやマルウェア感染などを許してしまう可能性があります。

また人為的なミスや IT 機器が管理されている環境の問題なども脆弱性に含まれます。本記事は脆弱性の中でも、どちらかというとシステム的な話が中心となります。

脆弱性を生み出す主な原因

脆弱性はなぜ生まれてしまうのでしょうか。

よくあるのは、プログラムの設計段階でミスがあり、そのミスが残ったままソフトウェアを作成してしまったことで脆弱性が生まれてしまうケースです。

設計している途中やテストの段階で脆弱性を発見できれば対処は可能ですが、プログラムの設計段階で、全ての脆弱性を予想・把握することはほぼ不可能といっても良いでしょう。

その理由は、セキュリティ対策が進化している一方で、サイバー攻撃も新しい手口が急速に生み出されているからです。ソフトウェアの作成段階では存在しなかったサイバー攻撃が生み出され、想定外の部分が脆弱性となってしまう可能性もあります。

「脆弱性のない完璧なプログラムは存在せず、どんな OS・ソフトウェア・アプリケーションでも常にセキュリティ対策をし続ける必要がある」という考え方が求められます。

また、ソフトウェアをアップデートせず、古いバージョンのまま使い続けることも危険です。古いバージョンでは新しいサイバー攻撃の手段に対応ができず、後述する「脆弱性によって引き起こされるリスク」につながりかねません。こういったソフトウェアの管理体制の甘さなども弱点になることから脆弱性に含まれます。

脆弱性によって引き起こされるリスクの例

ソフトウェアなどに脆弱性があると、どのようなリスクが引き起こされるのでしょうか。

さまざまなリスクが考えられますが、ここでは代表的なものを3つ解説します。

• マルウェア感染

• 第三者による不正アクセス

• データの盗聴・改ざん

マルウェア感染

ソフトウェアなどの脆弱性を放置しておくと、マルウェアに感染するリスクがあります。マルウェアとは、悪意を持って作られたソフトウェアのことで「ワーム」や「トロイの木馬」「スパイウェア」などの種類があることで有名です。

マルウェアに感染すると、例えば重要なデータが保存されているファイルのログイン情報を変えられてしまい、ログイン情報と引き換えにお金を要求されるなどの事態に陥る可能性があります。また、パソコン内に保存されているデータを破壊されてしまったり、あなたのメールアドレスからスパムメールが送られてしまったりなどのリスクが発生する恐れもあるでしょう。

マルウェアによって不正操作されて送信されたスパムメールを開くと、その端末もマルウェアに感染してしまう可能性があります。つまり、マルウェアに感染すると自分が被害者になるだけでなく、加害者になってしまうケースがあるのです。

第三者による不正アクセス

脆弱性のあるソフトウェアは第三者による不正アクセスを許す「侵入口」になってしまう可能性が非常に高いです。実際に、悪意のあるネットユーザーがプログラムの脆弱性を探し出す専用ソフトを使い、企業のコーポレートサイトに不正アクセスした事例が多数あります。

不正アクセスを許すと、悪意のあるプログラムをシステムに組み込まれたり、後述するデータの盗聴・改ざんが行われたりしてしまう恐れがあります。

データの盗聴・改ざん

脆弱性を放置し、悪意のあるネットユーザーの不正アクセスを許すと、社内の機密データを盗まれたり、内容を書き換えられたり（改ざん）するリスクがあります。

盗まれたデータが社外に流出して被害が甚大になってしまった事例は少なくありません。記憶に新しいところでは、2022年6月に株式会社SODAが、同社が運営するマーケットプレイス「 SNKRDUNK 」へ外部からの不正アクセスを受け、顧客情報など約275万件が流出した可能性があると発表しました。

参照：SNKDRUNK

このような顧客データの流出は会社の信用を下げるだけでなく、流出したデータが悪用された場合、顧客本人にも被害が及んでしまう可能性があります。

脆弱性の対策をしないことは、自社はもちろん取引先企業や顧客にまで及ぶほど大きな事件につながりかねないのです。

脆弱性をできるだけ減らすための主な対策

前提として、どのようなOS・ソフトウェア・アプリケーションにおいても脆弱性を完全に排除するのは難しく、サイバー攻撃を全く受けないような対策を施すことはできないでしょう。

だからといって脆弱性を放置したままにすれば、ここまでに紹介してきたような問題を引き起こしてしまう可能性があります。自社、そして自社を信頼して取引してくれている企業・顧客を守るためにできる限りの対策は行っておくべきです。

そこで最後に、脆弱性をできるだけ減らすための主な対策について解説します。

• テストを厳重に行う

• 脆弱性診断サービスを使う

• 開発元の情報を参照する

• アップデートを行う

テストを厳重に行う

ソフトウェアを開発したら、いきなり運用をせず必ずチェック・テストを行い、脆弱性がないか事前にできる限り把握しましょう。

例えば自社サービスの Web サイトを作ったとしたら、ソースコードに問題はないか、サーバなどのセキュリティ対策は十分か、お問い合わせフォームの誤動作によって顧客情報が漏れてしまう可能性はないかなど、チェックすべき項目を洗い出してみてください。

もちろん全ての可能性を洗い出すことは難しいでしょう。まずは発生する可能性が高く、事故になった場合の影響度が大きいものから順に対策していくことをおすすめします。

自社で構築したソフトウェアなどであれば全体像が見えて脆弱性の把握もしやすいかもしれませんが、外部業者に委託した場合は注意が必要です。自社で構築していない分、把握できていない箇所も多いことから脆弱性を見逃しやすいと考えられます。

外部委託した場合はその業者と一緒にチェックを行ったり、そもそも業者選びの際に信頼性の高い（実績が豊富・評判が良い）ところを選んだりして、脆弱性を可能な限り減らす取り組みをしましょう。

また、後述する脆弱性診断サービスを利用してペネトレーションテスト（侵入テスト）などを行い、脆弱性を発見するのも有効な方法となります。

社外のサービスを利用する場合も同じです。セキュリティ対策をしっかり行い、後述するアップデートを頻繁に繰り返し行っている信頼性の高いサービスを選ぶことをおすすめします。

脆弱性診断サービスを使う

自社で開発したソフトウェアやアプリケーションにどのような脆弱性があるのかを知るときに役立つのが「脆弱性診断サービス」です。

脆弱性診断サービスとは、ソフトウェアやアプリケーションをスキャンしたり、擬似的なサイバー攻撃を行ったりして脆弱性を発見するサービスのことです。

このようなサービスを利用すれば、脆弱性を見つけやすくなり、行うべき対策も把握しやすくなるでしょう。

開発元の情報を参照する

ソフトウェアの開発・運営元の Web サイトでは、脆弱性に関する情報が公開されていることがあります。また脆弱性情報データベースやニュースサイトもあるため、これらを参照していち早く、信頼できるソースから脆弱性の情報を入手することを心がけましょう。

脆弱性情報データベースとしては、以下のようなサイトがあります。ご活用ください。
JVN

アップデートを行う

サイバー攻撃は日々進化しているため、プログラムの設計やソフトウェアを構築するまでの間に全ての脆弱性を発見することは、不可能といえます。

そのため、使用しているソフトウェアやアプリケーションは常にアップデートし続けることが大切です。アップデートすることでそれまでに発見された脆弱性を解消し、新しいサイバー攻撃への対策となる場合があります。

アップデートは先延ばしにせず、例えば脆弱性が見つかった時点ですぐに行ったり、社外のソフトウェアやアプリケーションなら運営元からアップデートの通知があったりした際にすぐに行うようにしましょう。

また「ゼロデイ攻撃」という手法も見られます。ゼロデイ攻撃とはソフトウェアなどの運営元すら把握しておらず、セキュリティパッチが開発されていない脆弱性を攻撃するという方法です。

たとえ迅速なアップデートを行っていたとしても、ゼロデイ攻撃の標的になってしまうこともあります。サイバー攻撃を完全に防ぐのは非常に難しいことなのです。

SecureNaviを活用して、ISMS認証を効率的に取得しましょう

今回は、脆弱性の意味や脆弱性が生まれる原因、脆弱性が引き起こすリスクの例、主な対策を紹介しました。OSやソフトウェアの弱点である「脆弱性」は全てを把握し、対応することは難しく、常に戦い続ける必要があります。この世の中に存在する企業の全てが、いつサイバー攻撃の標的になってもおかしくありません。今は脆弱性のないサービスを運用したり使っていたりしても、明日も安全に使えるとは限らないでしょう。そのため、全社のセキュリティレベルを上げる目的で、ISMS認証を取得してはいかがでしょうか。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。