Może wynikać z projektu, kodu, konfiguracji, wdrożenia, procedury lub zależności. Termin opisuje samą słabość — nie exploit, atak ani prawdopodobieństwo i wpływ składające się na ryzyko.
Czy podatność ma znaczenie w konkretnym środowisku, zależy od dotkniętych wersji, wdrożenia, osiągalności, istniejących zabezpieczeń, dostępnych ścieżek ataku i konsekwencji kompromitacji. Czynniki te powinny kierować postępowaniem, nie zmieniając samej definicji.
Najważniejsze punkty
Możliwe źródłaPodatności mogą wynikać z błędnych założeń, błędów implementacji, niebezpiecznych ustawień domyślnych, brakujących kontroli, niebezpiecznego złożenia komponentów, pomyłek operacyjnych lub słabości odziedziczonych po stronach trzecich.
Dowody i walidacjaUstalenia mogą pochodzić z badań, testów, skanowania, przeglądu kodu, analizy incydentów, komunikatów dostawców lub skoordynowanego ujawnienia — i często wymagają potwierdzenia względem rzeczywistego środowiska.
Opcje postępowaniaZależnie od kontekstu organizacja może usunąć słabość, ograniczyć ekspozycję, dodać kontrolę kompensującą, wycofać komponent lub jawnie zaakceptować pozostałe ryzyko.
Istotne ograniczenieOdkrycie podatności nie dowodzi, że jest ona osiągalna, wykorzystywalna, aktywnie wykorzystywana lub o wysokim wpływie w każdym wdrożeniu; brak ustalenia również nie dowodzi, że podatność nie istnieje.