IT用語集 2022/06/16

脆弱性とは？知っておきたいリスクと安全性確保のための対策

インターネットは、私たちの生活や業務に欠かせない基盤になりました。その一方で、私たちは日々、情報を狙うサイバー攻撃と向き合っています。サイバー攻撃は多様化・複雑化しており、攻撃者は足掛かりとして「脆弱性（ぜいじゃくせい）」を狙います。

ビジネスデータのデジタル化やクラウド利用の拡大に伴い、脆弱性が原因となるデータ漏えい・不正アクセスは、特別な話ではなくなりました。さらにテレワークの普及により、社内外の境界は曖昧になり、端末やシステムが想定外の経路から狙われる場面も増えています。

この記事では、脆弱性の読み方と意味を整理したうえで、脆弱性がもたらすリスク、発生する原因、そして企業として「継続運用（脆弱性管理）」として回すための具体的な対策の考え方を解説します。読み終えたときに、脆弱性対策を「パッチを当てる作業」で終わらせず、どこから・何を優先して回すべきかを判断できるようになることを目指します。

脆弱性の読み方と意味

この章では、「脆弱性」の読み方・意味・英語表現を整理し、言葉のズレによる誤解を防ぎます。

「脆弱性」は「ぜいじゃくせい」と読みます。「脆い（ぜい）」＝壊れやすい、「弱い（じゃく）」＝抵抗力が弱い、というニュアンスが合わさり、ITの文脈では（システムやプログラム、設定、運用などが）攻撃に対して弱い状態、破られやすい状態を指します。

英語では「Vulnerability（ヴァルナラビリティ）」が一般的です。カタカナ表記には揺れがあり、「ヴァルナビリティ」と呼ばれることもあります。厳密な表記の違いよりも、「攻撃されやすさ」「弱点」を意味する言葉として押さえておけば問題ありません。

脆弱性とは

この章では、脆弱性を「技術」だけに限定せず、事故につながりやすい要因として整理し直します。

ITセキュリティの文脈で「脆弱性」というと、ソフトウェアや設定に起因する弱点（技術的脆弱性）を指すことが多い一方で、現実のインシデントは「物理」や「人」に起因して起こることも少なくありません。ここでは、脆弱性を3つに整理します。

技術的脆弱性

OSやアプリケーション、ネットワーク機器のソフトウェア（ファームウェア）などに内在するセキュリティ上の欠陥や弱点を指します。たとえば、プログラムの不具合（バグ）、設計段階の見落とし、設定の誤り、想定外の入力により異常な動作が起きる、といったものです。

OSやアプリケーションは高度かつ複雑で、多数の機能・コンポーネントが連携しています。そのため、バグや設計上の弱点が紛れ込みやすく、「完全に脆弱性がない状態（ゼロリスク）」を保証することは現実的に困難です。結果として、未発見の脆弱性が存在している可能性も常にあります。

開発者やメーカーは脆弱性情報を収集し、必要に応じてセキュリティアップデート（パッチ）を提供します。ただし、修正が出た後も新しい脆弱性が発見されることは珍しくありません。つまり、脆弱性対策は「一度やって終わり」ではなく、継続して回し続ける前提の取り組みになります。

物理的脆弱性

物理的脆弱性は、設備・機器・入退室・災害対策など、ハードウェアや現場の運用に関わる弱点です。たとえば、機器の老朽化や故障、ケーブル断線、電源・空調トラブル、地震・水害・火災などの災害による損傷、執務エリアやサーバ室への不正侵入、端末の盗難・紛失などが含まれます。

対策としては、冗長化、バックアップ、機器の保守更新、入退室管理、監視カメラ、持ち出しルールの整備などが基本になります。なお、物理的な問題は「サイバー攻撃ではない」ものの、結果として業務停止や情報漏えいにつながるため、広い意味での脆弱性として整理しておくと対策漏れを防げます。

人的脆弱性

人的脆弱性は、人間の行動・判断ミス・不注意・理解不足、あるいは内部不正に起因する弱点です。フィッシングへの誘導、誤送信、弱いパスワードの設定・共有、権限の付けすぎ、ルール逸脱、手順の省略などが典型例です。

人的脆弱性は「教育すればゼロになる」ものではありません。だからこそ、教育・訓練に加えて、そもそも事故が起きにくい仕組み（例：多要素認証、最小権限、二重チェック、端末制御、メール誤送信対策など）を組み合わせることが重要です。

脆弱性によるリスクや脅威

この章では、脆弱性が悪用された場合に何が起こるのかを、代表的なパターンに分けて整理します。

脆弱性はサイバー攻撃の足掛かりとして悪用されることがあり、放置すると被害が拡大します。代表的なリスクを、想定事例とあわせて確認します。

不正アクセス

A社（製造業）は、社内システムの脆弱性を突かれて不正アクセスを受けました。結果として製造ラインの制御系に影響が及び、一日単位の操業停止につながりました。生産機会の損失だけでなく、復旧作業や原因調査にもコストが発生します。

マルウェア感染（ランサムウェアを含む）

B社（サービス業）では、社員が添付ファイルを開いたことをきっかけに端末が感染しました。感染が横展開し、共有フォルダや重要データが暗号化され、業務が停滞。復旧に時間がかかるほど、売上・信用への影響が大きくなります。

データの改ざん

C社（IT企業）は、脆弱性を起点に内部システムへ侵入され、重要データが改ざんされました。改ざんは発見が遅れやすく、顧客対応や監査対応、再発防止に多大な工数を要します。

通信・情報の盗聴（漏えい）

D社（金融機関）では、脆弱な構成や認証不備が原因となり、顧客情報が漏えいした想定です。漏えいは、賠償・行政対応・信頼失墜といった二次被害につながりやすい点が特徴です。

次なるサイバー攻撃の踏み台

E社（通信事業）は、自社サーバが侵害され、取引先への攻撃の踏み台にされました。自社の被害にとどまらず、取引停止や責任追及など、ビジネス上のダメージが長期化する可能性があります。

被害が「表に出る」タイプと「気づきにくい」タイプがある

脆弱性による被害には、業務停止のように影響がすぐ表面化するものもあれば、情報窃取や改ざんのように「気づきにくい」ものもあります。後者は、発見が遅れるほど被害範囲が広がり、調査・監査・説明責任の負担も増えます。だからこそ、脆弱性対策はパッチ適用だけでなく、監視・検知や権限の統制とセットで考える必要があります。

このように、脆弱性は経済的損失だけでなく、企業の信用や取引関係、事業継続に大きな影響を及ぼします。特にランサムウェアのように「業務を止める」タイプの被害は影響が表面化しやすく、復旧コストも膨らみがちです。

なぜ発生するのか？脆弱性の原因

この章では、脆弱性が「技術的な欠陥」だけでなく、運用や体制の問題とも結びついて発生することを整理します。

脆弱性が発生する背景は一つではありません。技術の複雑化に加え、運用・体制・優先順位の問題も絡み合います。

想定外の利用や設計上の見落とし

設計・開発段階では一般的な利用シナリオを想定しますが、実運用では想定外の入力や手順、周辺環境の違いが起こります。これが脆弱性として露呈することがあります。たとえば、想定していない形式の入力で例外処理が抜けていた、連携する別システムの仕様変更で想定外の挙動になった、といったケースです。

技術の進化と攻撃手法の変化

新しい技術や環境（クラウド、コンテナ、SaaS、API連携など）が広がるほど、攻撃面（アタックサーフェス）も増えます。かつて安全と考えられていた方式や設定が、時間とともに危険になることもあります。暗号スイートの陳腐化や、認証方式の弱点が顕在化するといった変化は、長期運用の現場で起こりやすいポイントです。

設定・運用のミス（構成不備）

脆弱性は「ソフトウェアの欠陥」だけではありません。公開範囲の誤り、アクセス権限の付与ミス、不要なポート開放、古い暗号設定、管理者アカウントの使い回しなど、運用や設定が原因で「弱点」になることも多いのが実態です。

クラウドの「設定」はコードと同じくらい重要になる

クラウドでは、設定や権限の誤りがそのまま外部公開や情報漏えいにつながることがあります。機能自体に脆弱性がなくても、共有リンクの扱い、ストレージの公開設定、権限ロールの付与などが不適切だと「攻撃されやすい状態」が生まれます。クラウド利用が増えるほど、設定レビューや定期点検が脆弱性対策の重要部分になります。

リソース制約（人・予算・時間）

セキュリティ強化には専門知識を持つ人材、検証環境、運用工数、予算が必要です。リソースが限られると、パッチ適用の遅れ、棚卸し不足、優先順位付けの不備につながり、結果として脆弱性が残りやすくなります。

未来を完全に予測し、すべての脆弱性に先回りして対策を講じることは現実的には困難です。だからこそ企業に求められるのは、「脆弱性が発生し続ける前提」で、被害を最小化する運用（脆弱性管理）を回すことです。

企業に必要な脆弱性への対策

この章では、脆弱性対策を「個別の防御策」と「継続運用（脆弱性管理）」に分け、現場で回しやすい形に整理します。

脆弱性は放置すると攻撃に悪用されやすくなります。ここでは、企業が取り組むべき対策を「個別対策」と「運用として回す対策」に分けて整理します。

脅威別の対策（個別対策）

不正アクセスへの対策

多要素認証（MFA）の導入、強固な認証（証明書・デバイス認証など）、最小権限（必要最小限の権限付与）、ID管理の統制が基本です。ID/パスワードに依存した運用だけでは、フィッシングや漏えいに弱くなります。

マルウェア感染（ランサムウェア）への対策

アンチウイルス／EDR等の導入と更新、メール・Webのフィルタリング、マクロ制御、端末の権限設計（管理者権限の常用を避ける）に加え、バックアップと復旧手順の整備が重要です。「感染しない」だけでなく「感染しても戻せる」状態を作ります。

データ改ざんへの対策

アクセス制御、変更管理、監査ログ、整合性チェック（例：ハッシュによる検証）を組み合わせます。なお、ブロックチェーンは改ざん耐性の発想として語られることがありますが、すべての業務システムに適用できる万能策ではありません。まずはログ・権限・監査の基本を固め、改ざんが起きたときに「検知できる」「追跡できる」状態を作ることが現実的です。

盗聴・漏えいへの対策

通信の暗号化（HTTPS/TLS、VPN等）、保存データの暗号化、秘密情報の取り扱いルール、DLP等の導入検討が有効です。また、クラウド利用では公開設定（共有リンク、バケット公開など）の見直しが事故予防に直結します。

踏み台化への対策

境界防御（FW、WAF）、侵入検知／防止（IDS/IPS）、セグメンテーション（ネットワーク分離）、ゼロトラスト的なアクセス制御、脆弱性スキャン、侵害を前提にした監視（ログ分析）を組み合わせます。踏み台化は「侵害された後の話」に見えますが、実際には権限の分離や横展開の抑止が効きやすいため、入口対策と一体で設計することが重要です。