Materi
Glosarium NIST mendefinisikan pemindaian kerentanan sebagai teknik untuk mengenali host, atribut host, dan kerentanan yang terkait. Kontrol RA-5 di NIST SP 800-53 Rev. 5 meminta organisasi memindai pada frekuensi yang ditetapkannya sendiri dan setiap kali kerentanan baru yang mungkin mengenai sistem dilaporkan, menganalisis laporan pemindaian, meremediasi kerentanan yang sah dalam waktu respons yang ditetapkan sesuai penilaian risikonya, lalu membagikan temuan supaya kelemahan serupa di sistem lain ikut dihilangkan. Diskusi RA-5 mengingatkan agar switch, router, printer jaringan, pemindai dokumen, dan mesin fotokopi tidak terlewat.
Cakupan pemindaian, yang disebut breadth di RA-5(3), dapat dinyatakan sebagai persentase komponen sistem yang dipindai. Penyebutnya inventaris aset, bukan daftar host yang kebetulan menjawab pemindai. Aset di inventaris yang tidak pernah dipindai adalah titik buta: jumlah kerentanannya tidak diketahui, bukan nol.
Kedalaman pemindaian bergantung pada akses. Pemindaian tanpa kredensial hanya melihat apa yang tampak dari jaringan. SP 800-40r4 mencatat bahwa pemindaian yang dipakai untuk inventaris perangkat lunak butuh akses memadai, yaitu pemindaian terautentikasi, agar perubahan perangkat lunak terdeteksi; RA-5(5) menyebut otorisasi akses berhak istimewa untuk komponen tertentu memungkinkan pemindaian yang lebih menyeluruh.
