Podatność

Podatność to taka cecha produktu ICT albo usługi ICT, która może zostać wykorzystana przez cyberzagrożenie. Chodzi więc o właściwość danego rozwiązania, systemu lub usługi, tworzącą możliwość oddziaływania na nie w sposób zagrażający ich bezpieczeństwu. Podatność może wynikać z budowy, działania, konfiguracji albo innych cech produktu lub usługi, o ile może mieć znaczenie z punktu widzenia cyberzagrożenia.

W definicji istotne są trzy elementy:

• przedmiotem podatności jest produkt ICT lub usługa ICT;
• podatność polega na określonej właściwości tego produktu lub usługi;
• właściwość ta może zostać wykorzystana przez cyberzagrożenie.

Nie chodzi zatem o każdą wadę, niedogodność czy niepożądaną cechę. Za podatność można uznać tylko taką właściwość, która stwarza możliwość wykorzystania w ramach zagrożenia cyberbezpieczeństwa. Samo istnienie podatności nie oznacza jeszcze, że doszło do ataku, naruszenia bezpieczeństwa lub faktycznego wykorzystania tej cechy. Definicja odnosi się do potencjalnej możliwości wykorzystania.

W ustawie „Krajowy system cyberbezpieczeństwa” pojęcie to pozwala opisywać źródła i obszary ryzyka związane z produktami oraz usługami ICT. Dzięki temu można odróżnić samo zagrożenie od cechy rozwiązania, która może ułatwić jego wystąpienie albo zwiększyć jego skutki. Podatność jest więc elementem oceny bezpieczeństwa, obok analizy zagrożeń i możliwych następstw ich wykorzystania.

W praktyce rozpoznanie podatności służy ustaleniu, które właściwości produktu lub usługi wymagają sprawdzenia, zabezpieczenia, ograniczenia albo monitorowania. Ma znaczenie zarówno przy projektowaniu i utrzymywaniu rozwiązań ICT, jak i przy ocenie ich odporności na cyberzagrożenia. Pojęcie obejmuje nie tylko oczywiste błędy techniczne, lecz każdą właściwość, która w konkretnym kontekście może zostać użyta przeciwko bezpieczeństwu produktu lub usługi.