La vulnerability assessment è un processo strutturato per individuare, analizzare e dare priorità alle debolezze di sicurezza nei sistemi, nelle applicazioni e nelle reti. Di solito combina scansioni automatizzate con revisione manuale per identificare patch mancanti, configurazioni non sicure, servizi esposti, autorizzazioni deboli e altre condizioni che aumentano il rischio.
Nella sicurezza informatica, è importante perché i difensori non possono correggere tutto in una volta. Una buona assessment classifica i risultati in base all'impatto, alla sfruttabilità e al contesto aziendale, così i team possono concentrarsi sui problemi più probabilmente utilizzati in un attacco. In pratica, le assessment possono essere non autenticate, oppure possono usare credenziali autorizzate per esaminare più in profondità lo stato delle patch e la configurazione locale sugli asset gestiti.
Gli aggressori traggono vantaggio dalle stesse debolezze che una assessment mette in evidenza, ma i difensori usano i risultati per ridurre l'esposizione prima che avvenga lo sfruttamento. La vulnerability assessment spesso alimenta il penetration testing, in cui le debolezze selezionate vengono convalidate in modo sicuro, e le attività di remediation che chiudono le lacune.