آسیب‌پذیری (رایانه)

تعریف

ISO ۲۷۰۰۵ آسیب‌پذیری را به صورت زیر تعریف می‌کند:
یک ضعف در یک سرمایه یا گروهی از سرمایه‌ها که می‌توانند بوسیله یک یا چند تهدید مورد استثمار قرار گیرند.
یک سرمایه هر چیزی می‌تواند باشد که ارزشی برای سازمان داشته باشد شامل عملیات تجاری و منابع اطلاعاتی که از اهداف سازمان پشتیبانی می‌کند.
IETF RFC 2828 آسیب‌پذیری را به صورت زیر تعریف می‌کند:
نقص یا ضعف در طراحی، پیاده‌سازی، بهره‌برداری و مدیریت یک سیستم می‌توانند برای نقض سیاست امنیتی سیستم مورد سوء استفاده قرار گیرند.
کمیته ملی سیستم‌های امنیتی ایالات متحده آمریکا در آموزش CNSS شماره ۴۰۰۹ مورخ ۲۶ آوریل ۲۰۱۰، واژه‌نامه ملی تضمین اطلاعات آسیب‌پذیری را به صورت زیر تعریف می‌کند:
آسیب‌پذیری - ضعف در، روش‌های امنیتی سیستم، کنترل‌های داخلی، یا پیاده‌سازی است که می‌تواند مورد سوء استفاده قرار گیرد.
بسیاری از انتشارات NIST آسیب‌پذیری را در مسابقه فناوری اطلاعات در نشریات مختلف تعریف می‌کنند. FISMApedia یک لیست ارائه می‌دهد. در بین آن‌ها SP 800-30، یک تعریف بهتر ارائه می‌دهد:
یک نقص یا ضعف در روش‌های طراحی، پیاده‌سازی، یا کنترلهای داخلی امنیت سیستم است که می‌تواند اعمال شده (که به‌طور تصادفی یا عمداً می‌تواند مورد سوء استفاده قرار گیرد) و در نتیجه یک نقض امنیتی یا تخطی از سیاست‌های امنیتی سیستم بوجود می‌آید.
ENISA تعریف آسیب‌پذیری را به صورت زیر ارائه می‌دهد:
وجود ضعف یا خطا طراحی یا پیاده‌سازی است که می‌تواند منجر به رویداد غیرمنتظره و نامطلوب شود و باعث به خطر انداختن امنیت سیستم‌های کامپیوتری، شبکه، نرم‌افزار، یا پروتکل درگیر شود.
گروه باز تعریف آسیب‌پذیری به صورت زیر ارائه می‌دهد:
احتمال اینکه توانایی تهدید بیش از توانایی مقاومت در برابر تهدید باشد.
ISACA آسیب‌پذیری در چارچوب خطر ابتلا به این صورت تعریف می‌کند:
ضعف در طراحی، اجرا، بهره‌برداری و کنترل داخلی
امنیت داده‌ها و کامپیوتر: دیکشنری استانداردهای مفاهیم و اصطلاحات، نویسنده Denis Longley و Michael Shain، و روزنامه Stockton، تعریف آسیب‌پذیری را به صورت زیر ارائه داده‌اند:
۱) در امنیت کامپیوتر، ضعف در روش‌های امنیتی سیستم‌های خودکار، کنترل مدیریتی، کنترل اینترنت، و غیره، که می‌تواند یک تهدید برای دسترسی غیرمجاز به اطلاعات باشد یا برای برهم زدن پردازش مورد سوء استفاده قرار گیرد. ۲) در امنیت کامپیوتر، ضعف در طرح فیزیکی، سازمان، روش‌ها، پرسنل، مدیریت، سخت‌افزار یا نرم‌افزار که ممکن است باعث آسیب رساندن به سیستم یا فعالیت ADP شود. ۳) در امنیت کامپیوتر، هر گونه ضعف یا نقص‌های موجود در یک سیستم است. حمله یا رویداد مضر، یا فرصت موجود برای یک عامل تهدید برای سوار شدن به آن حمله است.

پدیده‌شناسی

منبع (یا فیزیکی یا منطقی) ممکن است یک یا چند آسیب‌پذیری داشته باشد که می‌تواند توسط یک عامل تهدید در یک اقدام تهدیدگرانه مورد سوء استفاده قرار گیرد. نتیجه به‌طور بالقوه می‌تواند محرمانگی، یکپارچگی و در دسترس بودن منابع (نه لزوماً آسیب‌پذیر) متعلق به یک سازمان یا دیگر طرف‌های درگیر (مشتریان، تأمین کنندگان) را به خطر بیندازد.
اصطلاح CIA سه‌گانه اساس امنیت اطلاعات است.
یک حمله می‌تواند فعال باشد زمانی که برای تغییر منابع سیستم یا تحت تأثیر قرار دادن اعمال آن‌ها تلاش می‌کند، پس در یکپارچگی و در دسترس بودن اختلال ایجاد می‌کند. یک «حمله انفعالی» تلاش می‌کند تا اطلاعات سیستم را استفاده کرده یا یاد بگیرد ولی در منابع سیستم تأثیر نگذارد، پس محرمانگی را به خطر انداخته‌است.

نتایج

تأثیر رخنه‌های امنیتی می‌تواند بسیار بالا باشد. این واقعیت که مدیران فناوری اطلاعات، یا مدیریت‌های بالا، می‌دانند که سیستم‌های فناوری اطلاعات و برنامه‌های کاربردی آسیب‌پذیری‌هایی دارند و هیچ گونه اقدامی برای مدیریت خطر انجام نمی‌دهند، به عنوان یک سوء رفتار در بسیاری از قوانین دیده می‌شود. قانون حفظ اسرار مدیران را مجبور می‌کند به گونه‌ای عمل کنند که تأثیر یا احتمال ریسک‌های امنیتی را کاهش دهد. امنیت حسابرسی فناوری اطلاعات راهی است برای اجازه به افراد مستقل دیگر تا تأیید کنند که محیط فناوری اطلاعات به درستی مدیریت شده و مسئولیت‌ها کاهش یابد و حداقل داشتن حسن نیت را نشان است. تست نفوذ، یک شکل تأیید ضعف و مقابله قابل قبول برای سازمان است. یک هکر کلاه سفید برای حمله به دارایی‌های فناوری اطلاعات سازمان و اینکه میزان سختی امنیت فناوری اطلاعات را بیابد تلاش می‌کند. راه مناسب برای مدیریت حرفه‌ای خطرات فناوری اطلاعات، اتخاذ یک سیستم مدیریت امنیت اطلاعات است.