IT用語集 2022/06/16

脆弱性とは？知っておきたいリスクと安全性確保のための対策

脆弱性とは、OSやソフトウェア、設定、運用手順などにある「攻撃や事故につながり得る弱点」です。攻撃者はその弱点を足掛かりに、不正アクセスやマルウェア感染、情報漏えいなどを狙います。

サイバー攻撃の手口が増え、クラウドやテレワークの利用も広がる中で、脆弱性の影響は社内システムだけにとどまりません。外部公開システム、VPN機器、端末、クラウド設定など、複数の場所が攻撃対象になります。

この記事では、脆弱性の読み方と意味、脆弱性・脅威・リスクの違い、主な原因、企業が取るべき対策、継続的に進める脆弱性管理の考え方を解説します。パッチ適用だけで終わらせず、どこから手を付けるべきかを判断できる状態を目指します。

脆弱性の読み方と意味

まず、「脆弱性」の読み方・意味・英語表現を確認します。言葉の受け取り違いを防ぐためです。

「脆弱性」は「ぜいじゃくせい」と読みます。「脆い（ぜい）」＝壊れやすい、「弱い（じゃく）」＝抵抗力が弱い、というニュアンスが合わさり、ITの文脈では（システムやプログラム、設定、運用などが）攻撃に対して弱い状態、破られやすい状態を指します。

英語では「Vulnerability（ヴァルナラビリティ）」が一般的です。カタカナ表記には揺れがあり、「ヴァルナビリティ」と呼ばれることもあります。厳密な表記の違いよりも、「攻撃されやすさ」「弱点」を意味する言葉として押さえておけば問題ありません。

脆弱性とは

脆弱性はソフトウェアの欠陥だけを指すとは限りません。事故や侵害につながる弱点として考えると、技術面だけでなく、設備や物理対策、人の行動まで視野に入ります。

脆弱性・脅威・リスクの違い

脆弱性は「弱点」、脅威はその弱点を悪用したり被害を起こしたりする要因、リスクは脅威によって被害が生じる可能性や影響の大きさです。たとえば、VPN機器に未修正の脆弱性がある状態は「脆弱性」、その弱点を狙う攻撃者や攻撃手法は「脅威」、実際に侵入されて業務が止まる可能性は「リスク」と整理できます。

ITセキュリティの文脈では、脆弱性という言葉はソフトウェアや設定に起因する弱点を指すことが一般的です。一方で、実際の事故や侵害を防ぐには、設備や物理対策、人の運用も含めて弱点を見ていく必要があります。以下では、対策を考えやすいように、技術・物理・人の3つの観点に分けて説明します。

技術的脆弱性

OSやアプリケーション、ネットワーク機器のソフトウェア（ファームウェア）などに内在するセキュリティ上の欠陥や弱点を指します。たとえば、プログラムの不具合（バグ）、設計段階の見落とし、設定の誤り、想定外の入力により異常な動作が起きる、といったものです。

OSやアプリケーションは高度かつ複雑で、多数の機能・コンポーネントが連携しています。そのため、バグや設計上の弱点が紛れ込みやすく、「完全に脆弱性がない状態（ゼロリスク）」を保証することは現実的に困難です。結果として、未発見の脆弱性が存在している可能性も常にあります。

開発者やメーカーは脆弱性情報を収集し、必要に応じてセキュリティアップデート（パッチ）を提供します。ただし、修正が出た後も新しい脆弱性が発見されることは珍しくありません。つまり、脆弱性対策は「一度実施して終わり」ではありません。継続して続ける運用として考える必要があります。

物理的脆弱性

物理的脆弱性は、設備・機器・入退室・災害対策など、ハードウェアや現場の運用に関わる弱点です。たとえば、機器の老朽化や故障、ケーブル断線、電源・空調トラブル、地震・水害・火災などの災害による損傷、執務エリアやサーバ室への不正侵入、端末の盗難・紛失などが含まれます。

対策としては、冗長化、バックアップ、機器の保守更新、入退室管理、監視カメラ、持ち出しルールの整備などが基本になります。なお、物理的な問題は「サイバー攻撃ではない」ものの、結果として業務停止や情報漏えいにつながるため、広い意味での脆弱性として整理しておくと対策漏れを防げます。

人的脆弱性

人的脆弱性は、人間の行動・判断ミス・不注意・理解不足、あるいは内部不正に起因する弱点です。フィッシングへの誘導、誤送信、弱いパスワードの設定・共有、権限の付けすぎ、ルール逸脱、手順の省略などが典型例です。

人的脆弱性は「教育すればゼロになる」ものではありません。だからこそ、教育・訓練に加えて、そもそも事故が起きにくい仕組み（例：多要素認証、最小権限、二重チェック、端末制御、メール誤送信対策など）を組み合わせることが重要です。

脆弱性によるリスクや脅威

脆弱性が悪用されたときに起こりやすい被害を、代表例ごとに見ていきます。

脆弱性はサイバー攻撃の足掛かりとして悪用されることがあり、放置すると被害が拡大します。代表的なリスクを、想定事例とあわせて確認します。

不正アクセス

A社（製造業）は、社内システムの脆弱性を突かれて不正アクセスを受けました。結果として製造ラインの制御系に影響が及び、一日単位の操業停止につながりました。生産機会の損失だけでなく、復旧作業や原因調査にもコストが発生します。

マルウェア感染（ランサムウェアを含む）

B社（サービス業）では、社員が添付ファイルを開いたことをきっかけに端末が感染しました。感染が社内に広がり、共有フォルダや重要データが暗号化され、業務が停滞しました。復旧に時間がかかるほど、売上・信用への影響が大きくなります。

データの改ざん

C社（IT企業）は、脆弱性を起点に内部システムへ侵入され、重要データが改ざんされました。改ざんは発見が遅れやすく、顧客対応や監査対応、再発防止に多大な工数を要します。

通信・情報の盗聴（漏えい）

D社（金融機関）では、脆弱な構成や認証不備が原因となり、顧客情報が漏えいした想定です。漏えいは、賠償・行政対応・信頼失墜といった二次被害につながりやすい点が特徴です。

次なるサイバー攻撃の踏み台

E社（通信事業）は、自社サーバが侵害され、取引先への攻撃の踏み台にされました。自社の被害にとどまらず、取引停止や責任追及など、ビジネス上のダメージが長期化する可能性があります。

すぐ把握できる被害と気付きにくい被害がある

脆弱性による被害には、業務停止のように影響をすぐ把握できるものもあれば、情報窃取や改ざんのように発見が遅れやすいものもあります。後者は、気付くまでに被害範囲が広がり、調査・監査・説明責任の負担も増えます。だからこそ、脆弱性対策はパッチ適用だけでなく、監視・検知や権限管理と組み合わせて考える必要があります。

このように、脆弱性は経済的損失だけでなく、企業の信用や取引関係、事業継続に大きな影響を及ぼします。特にランサムウェアのように業務を止めるタイプの被害は影響が見えやすく、復旧コストも膨らみがちです。

なぜ発生するのか？脆弱性の原因

ここでは、脆弱性が技術的な欠陥だけでなく、運用や体制の問題とも結び付いて生じることを確認します。

脆弱性が発生する背景は一つではありません。技術の複雑化に加え、運用・体制・優先順位の問題も絡み合います。

想定外の利用や設計上の見落とし

設計・開発段階では一般的な利用シナリオを想定しますが、実運用では想定外の入力や手順、周辺環境の違いが起こります。これが脆弱性として露呈することがあります。たとえば、想定していない形式の入力で例外処理が抜けていた、連携する別システムの仕様変更で想定外の挙動になった、といったケースです。

技術の進化と攻撃手法の変化

新しい技術や環境（クラウド、コンテナ、SaaS、API連携など）が広がるほど、攻撃面（アタックサーフェス）も増えます。かつて安全と考えられていた方式や設定が、時間とともに危険になることもあります。暗号スイートが古くなったり、認証方式の弱点が明らかになったりする変化は、長く運用している環境で起こりやすい点です。

設定・運用のミス（構成不備）

脆弱性は「ソフトウェアの欠陥」だけではありません。公開範囲の誤り、アクセス権限の付与ミス、不要なポート開放、古い暗号設定、管理者アカウントの使い回しなど、運用や設定が原因で「弱点」になることも多いのが実態です。

クラウドの「設定」はコードと同じくらい重要になる

クラウドでは、設定や権限の誤りがそのまま外部公開や情報漏えいにつながることがあります。機能自体に脆弱性がなくても、共有リンクの扱い、ストレージの公開設定、権限ロールの付与などが不適切だと「攻撃されやすい状態」が生まれます。クラウド利用が増えるほど、設定レビューや定期点検が脆弱性対策の重要部分になります。

リソース制約（人・予算・時間）

セキュリティ強化には専門知識を持つ人材、検証環境、運用工数、予算が必要です。リソースが限られると、パッチ適用の遅れ、資産把握の不足、優先順位付けの不備につながり、結果として脆弱性が残りやすくなります。

未来を完全に予測し、すべての脆弱性に先回りして対策を講じることは現実的には困難です。だからこそ企業に求められるのは、「脆弱性が発生し続ける前提」で、被害を最小化する運用（脆弱性管理）を回すことです。

企業に必要な脆弱性への対策

この章では、脆弱性対策を「個別の防御策」と「脆弱性管理」に分け、現場で回しやすい形に整理します。

脆弱性は放置すると攻撃に悪用されやすくなります。ここでは、企業が取り組むべき対策を「個別対策」と「運用として回す対策」に分けて整理します。

脅威別の対策（個別対策）

不正アクセスへの対策

多要素認証（MFA）の導入、強固な認証（証明書・デバイス認証など）、最小権限（必要最小限の権限付与）、ID管理を徹底することが基本です。ID/パスワードに依存した運用だけでは、フィッシングや漏えいに弱くなります。

マルウェア感染（ランサムウェア）への対策

アンチウイルス／EDR等の導入と更新、メール・Webのフィルタリング、マクロ制御、端末の権限設計（管理者権限の常用を避ける）に加え、バックアップと復旧手順の整備が重要です。「感染しない」だけでなく「感染しても戻せる」状態を作ります。

データ改ざんへの対策

アクセス制御、変更管理、監査ログ、整合性チェック（例：ハッシュによる検証）を組み合わせます。なお、ブロックチェーンは改ざん耐性の発想として語られることがありますが、すべての業務システムに適用できる万能策ではありません。まずはログ・権限・監査の基本を固め、改ざんが起きたときに「検知できる」「追跡できる」状態を作ることが現実的です。

盗聴・漏えいへの対策

通信の暗号化（HTTPS/TLS、VPN等）、保存データの暗号化、秘密情報の取り扱いルール、DLP等の導入検討が有効です。また、クラウド利用では公開設定（共有リンク、バケット公開など）の見直しが事故予防に直結します。

踏み台化への対策

境界防御（FW、WAF）、侵入検知／防止（IDS/IPS）、セグメンテーション（ネットワーク分離）、ゼロトラストを意識したアクセス制御、脆弱性スキャン、侵害を前提にした監視（ログ分析）を組み合わせます。踏み台化は侵害後の問題に見えますが、実際には権限の分離や社内への拡散を抑える設計が有効です。そのため、入口対策と侵入後対策を分けずに考えることが重要です。