Уязвимость системы определяет вероятность того, что возникшая угроза приведет к наступлению нежелательного события. Чем выше уровень уязвимости системы к определенной угрозе, тем выше вероятность того, что эта угроза будет реализована в виде конкретного события. Уязвимость вместе со силой угрозы формирует уровень риска конкретной ситуации. Например, даже при наличии серьезной угрозы (например, кибератака), если система хорошо защищена, низкая уязвимость может значительно снизить вероятность наступления негативного события. Таким образом, управление уязвимостями является ключевым элементом в снижении общего уровня рисков.