Куда я попал?
Цель: определить и установить общие правила и порядок управления уязвимостями в объектах информатизации в соответствии с требованиями приказа ФСТЭК России от 11.04.2025 № 117, Руководством по организации процесса управления уязвимостями (методический документ ФСТЭК от 17.05.2023) и Методикой оценки уровня критичности уязвимостей (методический документ ФСТЭК от 30.06.2025).
Регламент устанавливает:
Регламент устанавливает:
- пять основных этапов процесса управления уязвимостями (мониторинг уязвимостей и оценка применимости; оценка уязвимостей; определение методов и приоритетов устранения; устранение уязвимостей; контроль устранения);
- источники выявления уязвимостей (внутренние - CMDB, документация, базы знаний; БДУ ФСТЭК России; внешние - открытые базы данных, ресурсы разработчиков);
- возможность привлечения организаций, имеющих лицензию на деятельность по технической защите конфиденциальной информации, для поиска уязвимостей;
- порядок оценки уровня критичности уязвимостей по формуле с учётом CVSS, влияния на инфраструктуру, возможности эксплуатации и последствий;
- методы устранения (установка обновлений, применение компенсирующих мер) с приоритетом для сертифицированных средств защиты информации;
- предельные сроки устранения уязвимостей в зависимости от уровня критичности (критический - 24 часа, высокий - 7 дней, средний - 4 недели, низкий - 4 месяца);
- распределение ответственности между участниками процесса (Руководитель, Аналитик угроз, Специалист по проведению оценки защищённости);
- связь процесса с мониторингом ИБ, оценкой угроз, управлением конфигурацией, управлением обновлениями и применением компенсирующих мер.
Рекомендации к заполнению карточки:
- Приложите скан-копию Регламента в Реестр документов по защите информации (в модуле активов SECURITM). Укажите созданный актив в качестве инструмента к данной защитной мере.
- Создать шаблон регулярной задачи: не реже 1 раза в год "Осуществлять пересмотр Регламента управления уязвимостями".
Область действия: Вся организация
Классификация
Тип
Организационная
?
Реализация
Вручную
Периодичность
Разово
Ответственный
Не определено
Инструменты
Не определено
Для просмотра файла необходимо авторизоваться!
Приказ_об_утверждении_реламента_управления_уязвимостями.docx
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.