Come sospetti, questo è un problema di terminologia. Probabilmente stai cercando elenchi di vulnerabilità, ma per sicurezza vorrei spiegarti un po 'di più.
Temo che l'intera faccenda sia piuttosto complicata, ma ne vale la pena alla fine!
Prima di iniziare, dovrei sottolineare che ci sono molti approcci diversi alla sicurezza delle informazioni che possono avere la loro terminologia (io sono un uomo ISO 27000 me stesso). Quindi altre risposte potrebbero usare termini diversi.
Quindi, hai il tuo sistema su cui stai lavorando e vuoi proteggerlo da eventuali danni: ecco cos'è la sicurezza delle informazioni, la protezione sistematica delle informazioni dal male.
Affinché il danno accada, ci devono essere due cose. Una "minaccia", che è qualcuno che causerà danni (deliberatamente o accidentalmente), e una "vulnerabilità" che è un modo in cui la minaccia può fare del male.
Due esempi:
Il tuo concorrente ("minaccia") accede al tuo sistema tramite SQL injection ("vulnerabilità") per rubare il tuo elenco di clienti ("danno" - in particolare una "perdita di riservatezza")
Joe in spedizione ("minaccia") non è in grado di capire come funziona il tuo sistema ("vulnerabilità") e inserisce sempre il valore sbagliato per l'impostazione del widget di avvio. ("danno" - in particolare "perdita di integrità").
Puoi trovare elenchi di minacce ed elenchi di vulnerabilità online.
Le minacce tendono ad essere più facili da capire - chi potrebbe realisticamente voler danneggiare il tuo sistema? Chi potrebbe danneggiare accidentalmente il tuo sistema?
Quindi per lo più trovi elenchi di vulnerabilità. La top ten OWASP è un ottimo punto di partenza.
Da dove viene il rischio, allora? Il rischio è una misura che combina la probabilità di una minaccia di sfruttare una vulnerabilità con il danno che potrebbe verificarsi se lo facessero.
La valutazione del rischio viene utilizzata per capire quali combinazioni di minacce e vulnerabilità presentano un rischio più elevato di quello che desideri accettare, quindi sai che devi "trattarle": fai qualcosa per loro.
Ad esempio, se i tuoi concorrenti sono onesti e gestisci con attenzione i tuoi input SQL e tutti sanno chi sono i tuoi clienti, il rischio nell'esempio 1 è molto basso e quindi non vale la pena preoccuparsi. (Beh, non vale la pena spendere soldi, almeno.)
In alternativa, se Joe è incurante e l'errato settaggio del widget ti farà incendiare il tuo prodotto, allora il rischio è alto, e devi fare qualcosa riguardo l'Esempio 2 al più presto.
Ecco la cosa però - ogni valutazione del rischio è praticamente unica perché le minacce e le vulnerabilità che si incontrano sono in una combinazione unica. Qualcosa come l'elenco OWASP non è una scorciatoia. È più una lista di cose che dovresti controllare per assicurarti di non averne perso nessuna.