Методика экспресс-оценки уровня кибербезопасности организации РезБез

5.1. Процесс
Процедуры управления уязвимостями регламентированы как в верхнеуровневых документах (политиках), так и в операционных (регламентах, процедурах, инструкциях). Документы актуальны и достаточны для работы участников процесса.
Определены роли и назначены ответственные за управление уязвимостями (например, владелец/менеджер процесса, аналитики, технические специалисты и т. д.).
Для оценки эффективности процесса установлены и применяются показатели (метрики). Показатели  (метрики) процесса пересматриваются на регулярной основе.

5.2. Анализ уязвимостей
Осуществляется регулярное сканирование активов на наличие уязвимостей с использованием решения класса vulnerability management (VM). 
В область сканирования включены все активы, обеспечивающие критически значимые процессы организации.
Осуществляется приоритизация обработки выявленных уязвимостей, которая учитывает значимость активов, возможные последствия эксплуатации уязвимости, наличие эксплойта, метрики CVSS и т. п.
Область сканирования пересматривается на регулярной основе, учитывает результаты анализа недопустимых событий / ключевых рисков КБ, а также данные, получаемые в ходе процесса управления ИТ-активами.

5.3. Контроль устранения уязвимостей
Установлены и соблюдаются сроки по устранению уязвимостей.
Контроль устранения уязвимостей осуществляется на регулярной основе и автоматизирован с помощью решения класса vulnerability management (VM).