Zafiyetler yalnızca kod hatalarından ibaret değildir. Varsayılan parolalar, gereksiz yere internete açık bırakılmış servisler, eksik yetkilendirme kontrolleri, güncellenmemiş eklentiler ve yanlış yapılandırılmış bulut depolama alanları da zafiyettir.
Yayımlanmış zafiyetler CVE numarasıyla tanımlanır ve CVSS puanıyla teknik ciddiyetleri ifade edilir. Ancak bir zafiyetin kurumunuz için gerçek riski; sistemin internete açık olup olmadığı, istismarın aktif olarak görülüp görülmediği ve etkilenen varlığın önemine göre değişir.
Zafiyet yönetimi döngüsü şu adımlardan oluşur: varlıkları envanterleme, düzenli tarama, risk temelli önceliklendirme, yama veya geçici önlemle giderme ve giderildiğini doğrulama. CISA KEV kataloğundaki zafiyetler en yüksek öncelik verilmesi gerekenler arasındadır.