Haavoittuvuudet

Haavoittuvuus tarkoittaa tilaa tai ominaisuutta, jossa järjestelmä, sovellus tai prosessi on alttiina uhille. Se voi ilmetä teknisissä tai organisatorisissa tekijöissä ja esiintyä eri tasoilla kuten ohjelmistoissa, laitteistoissa, verkoissa, käyttöoikeuksissa ja käytännöissä. Haavoittuvuus antaa mahdollisuuden luvattomaan pääsyyn, tietojen paljastamiseen, palvelun keskeyttämiseen tai muihin haittoihin.

Kontekstissa, jossa puhutaan tietoturvasta, haavoittuvuudet voivat olla ohjelmistovirheitä, heikkoja oletuksia, vanhentuneita komponentteja, virheellisiä kokoonpanoja, heikkoa kryptografiaa tai inhimillisiä tekijöitä kuten sosiaalista manipulointia. Monet haavoittuvuudet johtuvat suunnittelun puutteista, toteutuksen virheistä tai käyttöönoton virheistä.

Haavoittuvuuksien hallintaan kuuluu tunnistaminen, arviointi, korjaaminen ja seuranta. Yleisiä menetelmiä ovat haavoittuvuusskannaukset, arkkitehtuurin ja koodin auditointi sekä penetraatiotestaus. Vakavuusluokituksia käytetään priorisoinnissa, usein CVSS:n avulla. Korjaustoimet sisältävät paikkaukset ja päivitykset, järjestelmän koventamisen, verkkoeristykset sekä käytäntöjen päivittämisen.

Haavoittuvuudet ovat merkittäviä riskejä: todennäköisyys ja vaikutus määrittelevät kokonaisriskin. Organisaatiot ylläpitävät haavoittuvuusrekisteriä, määrittelevät korjausrytmin ja varmistavat muutosten testaamisen ennen käyttöönottoa. Haavoittuvuudet eivät rajoitu tietotekniikkaan; ne voivat koskea fyysistä turvallisuutta, toimitusketjuja ja organisatorisia prosesseja.