セキュリティホール
ISO 27005は脆弱性を次のように定義している:
1つ以上の脅威によって悪用される可能性のあるアセットまたはアセットのグループの弱点。アセットとは、組織の使命をサポートする情報リソースを含む、組織、その事業運営、および継続性に価値のあるものを指す
IETF [RFC 4949]で定義された脆弱性:
システムのセキュリティポリシーに違反するために悪用される可能性がある、システムの設計、実装、または運用と管理の欠陥または弱点
アメリカ合衆国の国家安全保障システム委員会が、2010年4月26日付のCNSS命令No. 4009に国家情報保証用語集で定義した脆弱性:
脆弱性-脅威の発生源によって悪用される可能性のある情報システム、システムセキュリティ手順、内部統制、または実装の脆弱性。
多くのNISTの出版物は、さまざまな出版物でITコンテキストの脆弱性を定義している。FISMApediaの「Term:Vulnerability」にリストが示されている。そのリストに含まれる「NIST SP 800-30」はより広い定義を与える:
システムのセキュリティ手順、設計、実装、または内部統制の欠陥または弱点であり、行使されて(偶発的に引き起こされた、または意図的に悪用された)、セキュリティ違反またはシステムのセキュリティポリシーの違反につながる可能性がある。
ENISAは、脆弱性を次のように定義している:
脆弱性が公開される時期は、セキュリティコミュニティと業界で異なって定義されている。最も一般的には「特定の当事者によるセキュリティ情報の一種の公開」と呼ばれている。通常、脆弱性情報はメーリングリストで議論されるか、セキュリティWebサイトで公開され、その後セキュリティアドバイザリが発行される。
開示の時期は、セキュリティの脆弱性がチャネルに記載された最初の日付であり、脆弱性に関する開示された情報が次の要件を満たす必要がある。
情報は自由に公開されている
脆弱性情報は、信頼できる独立したチャネル/ソースによって公開されている
脆弱性は専門家による分析を受けており、リスク評価情報は開示時に含まれる