IEC 62443-1-1によると、脆弱性は次のように定義される。
「資産またはその資産に関連する保護対策における、脅威源によって悪用される可能性のある脆弱性」。より広義には、これは確実な侵害や特定の事象ではなく、セキュリティ侵害の可能性を表す。
これは、サイバーセキュリティリスク管理における理解と一致する。脆弱性とは、インシデントや結果を意味するのではなく、悪用される可能性のある潜在的な脅威を指す。
誤った選択肢：
A) 経営上の悪用可能な欠陥 - 範囲が狭すぎる。脆弱性は、経営だけでなく、システム、ソフトウェア、デバイスにも存在する。
B) セキュリティを侵害する可能性のある事象 - それは脆弱性ではなく脅威です。
D) 特定の出来事から生じる結果 - それは脆弱性そのものではなく、結果または影響とみなされます。
参考文献：
ISA/IEC 62443-1-1:2007 - 「用語、概念、およびモデル」
ISA/IEC 62443 学習ガイド

ISA/IEC 62443 サイバーセキュリティ基礎スペシャリストコースによると、ポリシー、組織、および意識の確立は、IACS サイバーセキュリティライフサイクルの 4 つのステップの 1 つです。このステップには、サイバーセキュリティ ポリシー、役割、および責任の定義、ならびにそれらを関連する利害関係者に伝えることが含まれます。また、組織にとって許容可能なリスクレベルであるリスク許容レベルの確立も含まれます。ポリシーの伝達とリスク許容レベルの確立は、どちらもこのステップに含まれる活動です。詳細な脆弱性の特定と対策の実施は、ライフサイクルの次のステップ、つまり現状の評価とサイバーセキュリティ プログラムの実施に属する活動です。参照: ISA/IEC 62443 サイバーセキュリティ基礎スペシャリストコース、モジュール 2:
IACSサイバーセキュリティライフサイクル1

サイバーセキュリティ意識向上プログラムは、組織の対象者に合わせてカスタマイズされ、企業方針に沿って実施され、定期的に周知される場合に最も効果を発揮します。ISA/IEC 62443-2-1は、人的要因によるセキュリティリスクを低減するための重要な要素として、さまざまなユーザーの役割に合わせてカスタマイズされた、継続的なサイバーセキュリティ研修と意識向上の重要性を強調しています。
参照：ISA/IEC 62443-2-1:2009、セクション6.2.4（「トレーニングと意識向上」）。

ISA/IEC 62443-2-1では、監査および評価の際に、サイバーセキュリティ対策の客観的かつ検証可能な証拠が求められています。
ステップ1：証拠に基づく検証
監査人は、必要なプロセスと技術的管理が実施され、効果的であるかどうかを評価する。
設定、手順、ログ、ポリシーなどの文書は、検証可能な証拠を提供する。
ステップ2：ドキュメント作成が重要な理由
文書による記録は、一貫性、再現性、およびガバナンスといった、この規格の重要な目標を示すものである。
ステップ3：他の選択肢が失敗する理由
財政支出は統制の有効性を証明するものではない。逸話は主観的なものだ。マーケティング資料は証拠にはならない。
したがって、技術の使用状況と構成を証明する文書こそが、適切な証拠となる。