II. Порядок оценки уровня критичности уязвимостей программных, программно-аппаратных средств

7. Уровень критичности уязвимостей оценивается в целях принятия обоснованного решения операторами информационных систем о необходимости устранения уязвимостей, выявленных в программных, программно-аппаратных средствах по результатам анализа уязвимостей в информационных системах.

8. Исходными данными для определения критичности уязвимостей являются:

а) база уязвимостей программного обеспечения, программно-аппаратных средств, содержащаяся в Банке данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru), а также иные источники, содержащие сведения об известных уязвимостях;

б) официальные информационные ресурсы разработчиков программного обеспечения, программно-аппаратных средств и исследователей в области информационной безопасности;

в) сведения о составе и архитектуре информационных систем, полученные по результатам их инвентаризации и (или) приведенные в документации на информационные системы;

г) результаты контроля уровня защищенности информационных систем и содержащейся в них информации, проведенные оператором (в том числе тестирование на проникновение, учения (тренировки), мероприятия по проведению эксперимента по повышению уровня защищенности государственных информационных систем федеральных органов исполнительной власти и подведомственных им учреждений, установленные постановлением Правительства Российской Федерации от 26 марта 2025 г. N 372).

Указанные исходные данные могут уточняться или дополняться с учетом особенностей сферы деятельности, в которой функционируют информационные системы.

9. Оценка уровня критичности уязвимостей программных, программно-аппаратных средств проводится специалистами по защите информации.

10. В случае, если информационная система функционирует на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, то оценка уровня критичности уязвимостей программных, программно-аппаратных средств проводится с учетом используемой инфраструктуры центра обработки данных.

11. Оценка уровня критичности уязвимостей программных, программно-аппаратных средств применительно к информационным системам включает:

1) определение перечня программных, программно-аппаратных средств, подверженных уязвимостям;

2) определение мест установки программных, программно-аппаратных средств, подверженных уязвимостям (например, на периметре информационных систем, во внутреннем сегменте систем, при реализации критических процессов (бизнес-процессов) и других сегментах информационной системы);

3) расчет уровня критичности уязвимости программных, программно-аппаратных средств в системе (V).

12. Расчет уровня критичности уязвимости программных, программно-аппаратных средств в информационной системе V осуществляется по следующей формуле:

V = I_cvss x I_infr x (I_at + I_imp), где

I_cvss - показатель, характеризующий уровень опасности уязвимости;

I_infr - показатель, характеризующий влияние уязвимости программных, программно-аппаратных средств на функционирование информационных систем;

I_at - показатель, характеризующий возможность эксплуатации уязвимости программных, программно-аппаратных средств в информационных системах;

I_imp - показатель, характеризующий последствия эксплуатации уязвимости программных, программно-аппаратных средств в информационных системах.

13. В качестве показателя I_cvss берется значение, рассчитанное разработчиком (вендором) программного обеспечения по базовым метрикам в соответствии с методикой Common Vulnerability Scoring System <2> (CVSS) 3.1, которая содержится в Банке данных угроз безопасности информации ФСТЭК России <3>, а также иных известных базах данных уязвимостей. В случае отсутствия для уязвимости оценки уровня опасности по базовым метрикам в соответствии с методикой Common Vulnerability Scoring System (CVSS) 3.1, специалист самостоятельно определяет версию CVSS, по которой производится оценка критичности уязвимости.

--------------------------------

<2> https://www.first.org/cvss.

<3> https://bdu.fstec.ru/calc31.

14. Показатель I_infr определяется по следующей формуле:

I_infr = k x K + l x L + p x P, где

K - показатель, характеризующий тип компонента информационной системы <4>, подверженного уязвимости;

--------------------------------

<4> ГОСТ 34.003-90. Компонент автоматизированной системы - это часть автоматизированной системы, выделенная по определенному признаку или совокупности признаков и рассматриваемая как единое целое. В контексте настоящей Методики рассматриваемые типы компонентов информационной системы представлены в таблице 1.

L - показатель, характеризующий количество уязвимых компонентов информационной системы (автоматизированных рабочих мест, серверов, телекоммуникационного оборудования, средств защиты информации и других компонентов);

P - показатель, характеризующий влияние уязвимого компонента на защищенность периметра информационной системы или периметра сегмента информационной системы (в случае сегментирования информационной системы);

k, l, p - весовые коэффициенты показателей (значения приведены в таблице 1 настоящей Методики).

15. В случае, если уязвимости подвержено несколько компонентов информационной системы (например, имеются сведения о подверженности уязвимости компонентов, обеспечивающих реализацию критических процессов, функций, полномочий, а также межсетевых экранов, сетевых устройств и шлюзов, автоматизированных рабочих мест, серверов, телекоммуникационного оборудования, средств защиты информации, систем хранения данных и других компонентов), то итоговой оценке показателя, характеризующего тип компонента информационной системы (K), присваивается наибольшее из значений.

16. Показатель I_at определяется в соответствии с имеющейся у оператора информацией о возможности эксплуатации уязвимости на момент оценки уровня критичности уязвимостей программных, программно-аппаратных средств по следующей формуле:

I_at = e x E, где

E - показатель, характеризующий эксплуатацию уязвимости нарушителями в реальных компьютерных атаках;

e - весовой коэффициент для показателя E (значения приведены в таблице 1 настоящей Методики).

Если показатель, характеризующий возможность эксплуатации уязвимости нарушителями (E), может принимать несколько значений (например, имеются сведения об эксплуатации уязвимости в реальных компьютерных атаках и имеются сведения о продаже средств эксплуатации (эксплойта)), то итоговой оценке данного показателя присваивается наибольшее из значений.

В случае изменения в Банке данных угроз безопасности информации ФСТЭК России сведений об эксплуатации уязвимости, расчет уровня критичности уязвимости программных, программно-аппаратных средств в информационной системе должен проводиться повторно с учетом всех изменений.

17. Показатель I_imp определяется с учетом возможных последствий воздействий, которым может подвергнуться информационная система при эксплуатации уязвимости, по следующей формуле:

I_imp = h x H, где

H - показатель, характеризующий возможные последствия, которые могут наступить в информационной системе при эксплуатации уязвимости;

h - весовой коэффициент для показателя H (значения приведены в таблице 1 настоящей Методики).

Если показатель, характеризующий возможные последствия, которые могут наступить в информационной системе при эксплуатации уязвимости (H), принимает несколько значений (например, нарушение целостности данных и повышение привилегий), то итоговой оценке данного показателя присваивается наибольшее из значений.

В случае изменения условий, которые влияют на последствия эксплуатации уязвимости, расчет уровня критичности уязвимости программных, программно-аппаратных средств в информационной системе должен проводиться повторно с учетом всех изменений.

Значения весовых коэффициентов и оценок показателей, определяющих влияние уязвимости программных, программно-аппаратных средств на информационную систему приведены в таблице 1.

Таблица 1 - Значения весовых коэффициентов и оценок показателей, определяющих влияние уязвимости на информационную систему

18. По результатам расчета уровню критичности уязвимости применительно к конкретной системе (V) присваивается одно из значений, указанных в таблице 2. Примеры расчета уровня критичности уязвимости представлены в приложении 1 к настоящей Методике.

Таблица 2 - Значения итоговой оценки уровня критичности уязвимости

19. Пересчет значения уровня критичности уязвимости должен осуществляться на постоянной основе (по возможности автоматизированными средствами) при выявлении новых сведений об уязвимости (например, выпуске разработчиком обновлений, устраняющих уязвимость, появление в открытом доступе средств эксплуатации уязвимости).