在未使用、传输时或处理过程中，缺乏对敏感数据的安全保护（例如加密不充分或缺乏加密、密码匙管理不当、平台访问控制低效等）。

敏感的数据传输和存储

安全配置不足

缺乏供货商提供的产品功能，以帮助用户透过配置保护设备（例如更强的认证、记录、监控、加密强度管理等）。

缺乏物理加固措施

缺乏物理防窜改防御和/或缺乏系统完整性检查，导致潜在攻击者能够获取敏感信息以便日后进行远程攻击。

弱密码、可猜密码或硬编码密码

在客户端软件或固件中使用轻易可遭暴力破解、硬编码、可公开获取及/或无法更改的密码，允许对已部署设备进行未获授权接达。

不安全的访问接口

不安全的网页、后端API、云端或移动接口，导致设备和/或其生态系统遭攻陷。常见的问题包括缺乏认证和授权、缺乏加密或弱加密以及缺乏输入验证和输出编码。

用户的个人资料在设备上未获安全储存，在记录及其他工件中遭不安全、不当及/或未经许可使用，在网络或互联网上不安全地传输，在使用前缺乏充分的私隐披露。

隐私保护不足

缺乏安全更新设备或生态系统的能力，缺乏对设备固件的验证，缺乏安全交付（传输时未加密），缺乏防回滚机制，缺乏对更新的安全变更的通知。

缺乏安全更新机制

不安全的网络服务和协议

设备运行了不需要和/或不安全的网络服务，尤其是暴露于互联网上的服务。这会损害信息的保密性、完整性或可用性，或允许未获授权的远程控制（例如远程登录、Wi-Fi、ZigBee、蓝牙等）。