"Методический документ "Руководство по организации процесса управления уязвимостями в органе (организации)" (утв. ФСТЭК России 17.05.2023)

4. ОЦЕНКА УЯЗВИМОСТЕЙ

4.1. Оценка уязвимостей производится с целью определения уровня критичности уязвимостей применительно к информационным системам органа (организации).

4.2. На этапе оценки уязвимостей выполняются операции, приведенные в таблице 4.1.

Таблица 4.1.

N п/п	Наименование операции	Описание операции
1.	Получение информации об объектах, подверженных уязвимости	Получение выборки объектов информационных систем, подверженных уязвимости
2.	Определение уровня опасности уязвимости	Расчет базовой, контекстной и временной метрик по методике CVSS с использованием калькулятора CVSS <6> V3 или V3.1, размещенного в БДУ ФСТЭК России <7>
3.	Определение влияния на информационные системы	Определение влияния уязвимого компонента на защищенность информационных систем выполняется с использованием результатов процесса "Оценка угроз" (в части сведений о недопустимых негативных последствиях и возможных объектах воздействий), при этом могут быть использованы данные об ИТ-инфраструктуре, полученные из баз данных управления конфигурациями (отдельные результаты из процесса "Управление конфигурацией")
4.	Расчет критичности уязвимости	Получение значений уровней критичности обнаруженных уязвимостей

--------------------------------

<6> CVSS (англ. Common Vulnerability Scoring System) - общая система оценки уязвимостей (адрес: https://www.first.org/cvss)

<7> Адреса: https://bdu.fstec.ru/calc3, https://bdu.fstec.ru/calc31

Операции по определению уровня опасности уязвимости, ее влияния на информационные системы и расчету критичности уязвимости выполняются в соответствии с Методикой оценки уровня критичности уязвимостей программных и программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г. <8>

--------------------------------

<8> Адрес: https://bdu.fstec.ru/documents/31

4.3. На основе таблицы 4.1. в органе (организации) должно разрабатываться детальное описание операций, включающее наименование операций, описание операций, исполнителей, продолжительность, входные и выходные данные. Детальное описание операций включается в организационно-распорядительные документы по защите информации органа (организации).

4.4. Схема этапа оценки уязвимостей представлена на рисунке 4.1.

Рисунок 4.1. - Схема этапа оценки уязвимостей

3. Мониторинг уязвимостей и оценка их применимости 5. Определение методов и приоритетов устранения уязвимостей