ISO 27000およびそれと同等なJIS Q 27000（ISMSの用語を規定）では脆弱性を

一つ以上の脅威によって付け込まれる可能性のある資産または管理策の弱点^[2]

とより厳密に定義している。

ここで

• 脅威（threat）とは「システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」^[3]
  • （情報セキュリティ）インシデントとは「望まない単独若しくは一連の情報セキュリティ事象，又は予期しない単独若しくは一連の情報セキュリティ事象であって，事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの」^[4]
• 管理策(control)とは「リスクを修正する対策」^[5]
  • リスクとは「目的に対する不確かさの影響」^[6]

Mitre社のCAPECでは攻撃パターンによって脆弱性をツリー状に分類しており、その最上位の分類は以下のものである^[7]：