---
title: "\"Методический документ \"Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств\""
issuer: "Федеральная служба по техническому и экспортному контролю"
status: действует
canonical: "https://bukva.ai/docs/metodicheskiy-dokument-metodika-otsenki-urovnya"
---

## "Методический документ "Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств"

# "Методический документ "Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств"

(утв. ФСТЭК России 30.06.2025)

> [!IMPORTANT]
> Текст документа приведен в соответствии с публикацией на сайте https://fstec.ru по состоянию на 15.10.2025.


<a id="p100002"></a>Утвержден
ФСТЭК России
30 июня 2025 г.

<a id="p100003"></a>**МЕТОДИЧЕСКИЙ ДОКУМЕНТ**


## <a id="p100004"></a>МЕТОДИКА

**ОЦЕНКИ УРОВНЯ КРИТИЧНОСТИ УЯЗВИМОСТЕЙ ПРОГРАММНЫХ,**
**ПРОГРАММНО-АППАРАТНЫХ СРЕДСТВ**


### <a id="p100005"></a>I. ОБЩИЕ ПОЛОЖЕНИЯ


1. <a id="p100006"></a>Настоящая Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств (далее - Методика) разработана в соответствии с [подпунктом 4 пункта 8](https://bukva.ai/docs/ukaz-1085#p100086) Положения о Федеральной службе по техническому и экспортному контролю (далее - ФСТЭК России), утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.
2. <a id="p100007"></a>Методика определяет порядок оценки уровня критичности уязвимостей, выявленных в программных, программно-аппаратных средствах информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, в том числе функционирующих на базе информационно-телекоммуникационной инфраструктуры центров обработки данных (далее - информационные системы).
3. <a id="p100008"></a>Настоящая Методика подлежит применению операторами информационных систем при принятии ими мер по устранению уязвимостей программных, программно-аппаратных средств информационных систем в соответствии с требованиями о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, и требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, а также иными нормативными правовыми актами и методическими документами ФСТЭК России. <1>

<a id="p100009"></a>

---

<a id="p100010"></a><1> [Требования](https://bukva.ai/docs/prikaz-117-2025-fstek-rossii-federalnaya#p100148) о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, утвержденные приказом ФСТЭК России от 11 апреля 2025 г. N 117.
<a id="p100011"></a>Требования к обеспечению защиты информации, содержащейся в информационных системах управления производством, используемых предприятиями оборонно-промышленного комплекса, утвержденные приказом ФСТЭК России от 28 февраля 2017 г. N 31.
<a id="p100012"></a>[Требования](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100064) по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденные приказом ФСТЭК России от 25 декабря 2017 г. N 239.
<a id="p100013"></a>[Требования](https://bukva.ai/docs/prikaz-31-2014-fstek-rossii-federalnaya#p100077) к обеспечению защиты информации в автоматизированных системах управления производственными процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденные приказом ФСТЭК России от 14 марта 2013 г. N 31.

4. <a id="p100014"></a>Меры по устранению уязвимостей в сертифицированных программных, программно-аппаратных средствах защиты информации выполняются в сроки, установленные настоящей Методикой, с присвоением таким уязвимостям критического уровня (V > 8,0), а также в соответствии с эксплуатационной документацией на них и рекомендациями разработчика.
5. <a id="p100015"></a>В Методике используются термины и определения, установленные национальными стандартами ГОСТ Р 50922-2006 "Защита информации. Основные термины и определения", ГОСТ Р 56545-2015 "Защита информации. Уязвимости информационных систем. Правила описания уязвимостей", ГОСТ Р 56546-2015 "Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем", иными национальными стандартами в области защиты информации и обеспечения информационной безопасности.
6. <a id="p100016"></a>В связи с утверждением настоящей Методики не применяется для оценки уровня критичности уязвимостей программных, программно-аппаратных средств [Методика](https://bukva.ai/docs/metodicheskiy-dokument-metodika-otsenki-urovnya) оценки уровня критичности уязвимостей программных, программно-аппаратных средств, утвержденная ФСТЭК России 28 октября 2022 г.


### <a id="p100017"></a>II. ПОРЯДОК ОЦЕНКИ УРОВНЯ КРИТИЧНОСТИ УЯЗВИМОСТЕЙ ПРОГРАММНЫХ, ПРОГРАММНО-АППАРАТНЫХ СРЕДСТВ


7. <a id="p100018"></a>Уровень критичности уязвимостей оценивается в целях принятия обоснованного решения операторами информационных систем о необходимости устранения уязвимостей, выявленных в программных, программно-аппаратных средствах по результатам анализа уязвимостей в информационных системах.
8. <a id="p100019"></a>Исходными данными для определения критичности уязвимостей являются:
<a id="p100020"></a>а) база уязвимостей программного обеспечения, программно-аппаратных средств, содержащаяся в Банке данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru), а также иные источники, содержащие сведения об известных уязвимостях;
<a id="p100021"></a>б) официальные информационные ресурсы разработчиков программного обеспечения, программно-аппаратных средств и исследователей в области информационной безопасности;
<a id="p100022"></a>в) сведения о составе и архитектуре информационных систем, полученные по результатам их инвентаризации и (или) приведенные в документации на информационные системы;
<a id="p100023"></a>г) результаты контроля уровня защищенности информационных систем и содержащейся в них информации, проведенные оператором (в том числе тестирование на проникновение, учения (тренировки), мероприятия по проведению эксперимента по повышению уровня защищенности государственных информационных систем федеральных органов исполнительной власти и подведомственных им учреждений, установленные [постановлением](https://bukva.ai/docs/postanovlenie-372-2025) Правительства Российской Федерации от 26 марта 2025 г. N 372).
<a id="p100024"></a>Указанные исходные данные могут уточняться или дополняться с учетом особенностей сферы деятельности, в которой функционируют информационные системы.
9. <a id="p100025"></a>Оценка уровня критичности уязвимостей программных, программно-аппаратных средств проводится специалистами по защите информации.
10. <a id="p100026"></a>В случае, если информационная система функционирует на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, то оценка уровня критичности уязвимостей программных, программно-аппаратных средств проводится с учетом используемой инфраструктуры центра обработки данных.
11. <a id="p100027"></a>Оценка уровня критичности уязвимостей программных, программно-аппаратных средств применительно к информационным системам включает:
1) <a id="p100028"></a>определение перечня программных, программно-аппаратных средств, подверженных уязвимостям;
2) <a id="p100029"></a>определение мест установки программных, программно-аппаратных средств, подверженных уязвимостям (например, на периметре информационных систем, во внутреннем сегменте систем, при реализации критических процессов (бизнес-процессов) и других сегментах информационной системы);
3) <a id="p100030"></a>расчет уровня критичности уязвимости программных, программно-аппаратных средств в системе (V).
12. <a id="p100031"></a>Расчет уровня критичности уязвимости программных, программно-аппаратных средств в информационной системе V осуществляется по следующей формуле:

<a id="p100032"></a>V = Icvss x Iinfr x (Iat + Iimp), где

<a id="p100033"></a>Icvss - показатель, характеризующий уровень опасности уязвимости;
<a id="p100034"></a>Iinfr - показатель, характеризующий влияние уязвимости программных, программно-аппаратных средств на функционирование информационных систем;
<a id="p100035"></a>Iat - показатель, характеризующий возможность эксплуатации уязвимости программных, программно-аппаратных средств в информационных системах;
<a id="p100036"></a>Iimp - показатель, характеризующий последствия эксплуатации уязвимости программных, программно-аппаратных средств в информационных системах.
13. <a id="p100037"></a>В качестве показателя Icvss берется значение, рассчитанное разработчиком (вендором) программного обеспечения по базовым метрикам в соответствии с методикой Common Vulnerability Scoring System <2> (CVSS) 3.1, которая содержится в Банке данных угроз безопасности информации ФСТЭК России <3>, а также иных известных базах данных уязвимостей. В случае отсутствия для уязвимости оценки уровня опасности по базовым метрикам в соответствии с методикой Common Vulnerability Scoring System (CVSS) 3.1, специалист самостоятельно определяет версию CVSS, по которой производится оценка критичности уязвимости.

<a id="p100038"></a>

---

<a id="p100039"></a><2> https://www.first.org/cvss.
<a id="p100040"></a><3> https://bdu.fstec.ru/calc31.

14. <a id="p100041"></a>Показатель Iinfr определяется по следующей формуле:

<a id="p100042"></a>Iinfr = k x K + l x L + p x P, где

<a id="p100043"></a>K - показатель, характеризующий тип компонента информационной системы <4>, подверженного уязвимости;

<a id="p100044"></a>

---

<a id="p100045"></a><4> ГОСТ 34.003-<sub>90</sub>. Компонент автоматизированной системы - это часть автоматизированной системы, выделенная по определенному признаку или совокупности признаков и рассматриваемая как единое целое. В контексте настоящей Методики рассматриваемые типы компонентов информационной системы представлены в [таблице 1](#p100063).

<a id="p100046"></a>L - показатель, характеризующий количество уязвимых компонентов информационной системы (автоматизированных рабочих мест, серверов, телекоммуникационного оборудования, средств защиты информации и других компонентов);
<a id="p100047"></a>P - показатель, характеризующий влияние уязвимого компонента на защищенность периметра информационной системы или периметра сегмента информационной системы (в случае сегментирования информационной системы);
<a id="p100048"></a>k, l, p - весовые коэффициенты показателей (значения приведены в [таблице 1](#p100063) настоящей Методики).
15. <a id="p100049"></a>В случае, если уязвимости подвержено несколько компонентов информационной системы (например, имеются сведения о подверженности уязвимости компонентов, обеспечивающих реализацию критических процессов, функций, полномочий, а также межсетевых экранов, сетевых устройств и шлюзов, автоматизированных рабочих мест, серверов, телекоммуникационного оборудования, средств защиты информации, систем хранения данных и других компонентов), то итоговой оценке показателя, характеризующего тип компонента информационной системы (K), присваивается наибольшее из значений.
16. <a id="p100050"></a>Показатель Iat определяется в соответствии с имеющейся у оператора информацией о возможности эксплуатации уязвимости на момент оценки уровня критичности уязвимостей программных, программно-аппаратных средств по следующей формуле:

<a id="p100051"></a>Iat = e x E, где

<a id="p100052"></a>E - показатель, характеризующий эксплуатацию уязвимости нарушителями в реальных компьютерных атаках;
<a id="p100053"></a>e - весовой коэффициент для показателя E (значения приведены в [таблице 1](#p100063) настоящей Методики).
<a id="p100054"></a>Если показатель, характеризующий возможность эксплуатации уязвимости нарушителями (E), может принимать несколько значений (например, имеются сведения об эксплуатации уязвимости в реальных компьютерных атаках и имеются сведения о продаже средств эксплуатации (эксплойта)), то итоговой оценке данного показателя присваивается наибольшее из значений.
<a id="p100055"></a>В случае изменения в Банке данных угроз безопасности информации ФСТЭК России сведений об эксплуатации уязвимости, расчет уровня критичности уязвимости программных, программно-аппаратных средств в информационной системе должен проводиться повторно с учетом всех изменений.
17. <a id="p100056"></a>Показатель Iimp определяется с учетом возможных последствий воздействий, которым может подвергнуться информационная система при эксплуатации уязвимости, по следующей формуле:

<a id="p100057"></a>Iimp = h x H, где

<a id="p100058"></a>H - показатель, характеризующий возможные последствия, которые могут наступить в информационной системе при эксплуатации уязвимости;
<a id="p100059"></a>h - весовой коэффициент для показателя H (значения приведены в [таблице 1](#p100063) настоящей Методики).
<a id="p100060"></a>Если показатель, характеризующий возможные последствия, которые могут наступить в информационной системе при эксплуатации уязвимости (H), принимает несколько значений (например, нарушение целостности данных и повышение привилегий), то итоговой оценке данного показателя присваивается наибольшее из значений.
<a id="p100061"></a>В случае изменения условий, которые влияют на последствия эксплуатации уязвимости, расчет уровня критичности уязвимости программных, программно-аппаратных средств в информационной системе должен проводиться повторно с учетом всех изменений.
<a id="p100062"></a>Значения весовых коэффициентов и оценок показателей, определяющих влияние уязвимости программных, программно-аппаратных средств на информационную систему приведены в таблице 1.

<a id="p100063"></a>Таблица 1 - Значения весовых коэффициентов и оценок показателей, определяющих влияние уязвимости на информационную систему


<table>
<colgroup><col width="6%"><col width="23%"><col width="14%"><col width="33%"><col width="14%"><col width="11%"></colgroup>
<tr><td><a id="p100064"></a>N п/п</td><td><a id="p100065"></a>Наименование</td><td><a id="p100066"></a>Весовой коэффициент показателя<br>(k, l, p, e, h)</td><td><a id="p100067"></a>Наименование возможных значений показателя</td><td><a id="p100068"></a>Значение показателя<br>(Ki, Lj, Pm, En, Hk)</td><td><a id="p100069"></a>Итог<br>(k x Ki,<br>l x Lj,<br>p x Pm,<br>e x En,<br>h x Hk)</td></tr>
<tr><td colspan="6"><a id="p100070"></a>Данные для расчета показателя Iinfr</td></tr>
<tr><td rowspan="8"><a id="p100071"></a>1</td><td rowspan="8"><a id="p100072"></a>Тип компонента информационной системы, подверженного уязвимости (K)</td><td rowspan="8"><a id="p100073"></a>0,5</td><td><a id="p100074"></a>Уязвимости подвержены компоненты системы, обеспечивающие реализацию важных процессов (бизнес-процессов), функций, полномочий</td><td><a id="p100075"></a>1,1</td><td><a id="p100076"></a>0,55</td></tr>
<tr><td><a id="p100077"></a>Уязвимости подвержены межсетевые экраны</td><td><a id="p100078"></a>0,9</td><td><a id="p100079"></a>0,45</td></tr>
<tr><td><a id="p100080"></a>Уязвимости подвержены сетевые устройства и шлюзы</td><td><a id="p100081"></a>0,9</td><td><a id="p100082"></a>0,45</td></tr>
<tr><td><a id="p100083"></a>Уязвимости подвержены телекоммуникационное оборудование, система управления сетью передачи данных</td><td><a id="p100084"></a>0,8</td><td><a id="p100085"></a>0,4</td></tr>
<tr><td><a id="p100086"></a>Уязвимости подвержены серверы (центральные вычислительные узлы)</td><td><a id="p100087"></a>0,7</td><td><a id="p100088"></a>0,35</td></tr>
<tr><td><a id="p100089"></a>Уязвимости подвержены пользовательские устройства (автоматизированные рабочие места)</td><td><a id="p100090"></a>0,5</td><td><a id="p100091"></a>0,25</td></tr>
<tr><td><a id="p100092"></a>Уязвимости подвержены системы хранения данных</td><td><a id="p100093"></a>0,4</td><td><a id="p100094"></a>0,2</td></tr>
<tr><td><a id="p100095"></a>Уязвимости подвержены другие компоненты</td><td><a id="p100096"></a>0,1</td><td><a id="p100097"></a>0,05</td></tr>
<tr><td rowspan="4"><a id="p100098"></a>2</td><td rowspan="4"><a id="p100099"></a>Количество уязвимых компонентов информационной системы (обеспечивающих реализацию критических процессов, функций, полномочий, межсетевых экранов, сетевых устройств и шлюзов, автоматизированных рабочих мест, серверов, телекоммуникационного оборудования, средств защиты информации, систем хранения данных и других компонентов) (L)</td><td rowspan="4"><a id="p100100"></a>0,2</td><td><a id="p100101"></a>Более 70% компонентов от общего числа компонентов в информационной системе</td><td><a id="p100102"></a>1,0</td><td><a id="p100103"></a>0,2</td></tr>
<tr><td><a id="p100104"></a>50 - 70%<br>компонентов от общего числа компонентов в информационной системе</td><td><a id="p100105"></a>0,8</td><td><a id="p100106"></a>0,16</td></tr>
<tr><td><a id="p100107"></a>10 - 50%<br>компонентов от общего числа компонентов в информационной системе</td><td><a id="p100108"></a>0,6</td><td><a id="p100109"></a>0,12</td></tr>
<tr><td><a id="p100110"></a>Менее 10% компонентов от общего числа компонентов в информационной системе</td><td><a id="p100111"></a>0,5</td><td><a id="p100112"></a>0,1</td></tr>
<tr><td rowspan="2"><a id="p100113"></a>3</td><td rowspan="2"><a id="p100114"></a>Влияние на эффективность защиты периметра информационной системы (P)</td><td rowspan="2"><a id="p100115"></a>0,3</td><td><a id="p100116"></a>Уязвимое программное, программно-аппаратное средство доступно из сети "Интернет"</td><td><a id="p100117"></a>1,1</td><td><a id="p100118"></a>0,33</td></tr>
<tr><td><a id="p100119"></a>Уязвимое программное, программно-аппаратное средство недоступно из сети "Интернет"</td><td><a id="p100120"></a>0,6</td><td><a id="p100121"></a>0,18</td></tr>
<tr><td colspan="6"><a id="p100122"></a>Данные для расчета показателя Iat</td></tr>
<tr><td rowspan="3"><a id="p100123"></a>4</td><td rowspan="3"><a id="p100124"></a>Эксплуатация уязвимости (E)</td><td rowspan="3"><a id="p100125"></a>1,0</td><td><a id="p100126"></a>Эксплуатируется в реальных атаках</td><td><a id="p100127"></a>0,6</td><td><a id="p100128"></a>0,6</td></tr>
<tr><td><a id="p100129"></a>Имеются сведения о наличии средств эксплуатации (эксплойта) уязвимости</td><td><a id="p100130"></a>0,3</td><td><a id="p100131"></a>0,3</td></tr>
<tr><td><a id="p100132"></a>Отсутствуют сведения об эксплуатации в реальных атаках (наличии эксплойта)</td><td><a id="p100133"></a>0,1</td><td><a id="p100134"></a>0,1</td></tr>
<tr><td colspan="6"><a id="p100135"></a>Данные для расчета показателя Iimp</td></tr>
<tr><td rowspan="12"><a id="p100136"></a>5</td><td rowspan="12"><a id="p100137"></a>Последствия воздействий, которым подвергается информационная система при эксплуатации уязвимости (H)</td><td rowspan="12"><a id="p100138"></a>1,0</td><td><a id="p100139"></a>Выполнение произвольного кода<br>(Arbitrary Code Execution)</td><td><a id="p100140"></a>0,5</td><td><a id="p100141"></a>0,5</td></tr>
<tr><td><a id="p100142"></a>Повышение привилегий<br>(Privilege Escalation)</td><td><a id="p100143"></a>0,5</td><td><a id="p100144"></a>0,5</td></tr>
<tr><td><a id="p100145"></a>Обход механизмов безопасности<br>(Security Bypass)</td><td><a id="p100146"></a>0,4</td><td><a id="p100147"></a>0,4</td></tr>
<tr><td><a id="p100148"></a>Внедрение кода<br>(Code Injection)</td><td><a id="p100149"></a>0,34</td><td><a id="p100150"></a>0,34</td></tr>
<tr><td><a id="p100151"></a>Получение конфиденциальной информации (Obtain Sensitive Information)</td><td><a id="p100152"></a>0,3</td><td><a id="p100153"></a>0,3</td></tr>
<tr><td><a id="p100154"></a>Нарушение целостности данных (Loss of Integrity)</td><td><a id="p100155"></a>0,3</td><td><a id="p100156"></a>0,3</td></tr>
<tr><td><a id="p100157"></a>Отказ в обслуживании (DoS)</td><td><a id="p100158"></a>0,26</td><td><a id="p100159"></a>0,26</td></tr>
<tr><td><a id="p100160"></a>Перезапись произвольных файлов (Overwrite Arbitrary Files)</td><td><a id="p100161"></a>0,22</td><td><a id="p100162"></a>0,22</td></tr>
<tr><td><a id="p100163"></a>Запись локальных файлов (Write Local Files)</td><td><a id="p100164"></a>0,2</td><td><a id="p100165"></a>0,2</td></tr>
<tr><td><a id="p100166"></a>Чтение локальных файлов (Read Local Files)</td><td><a id="p100167"></a>0,18</td><td><a id="p100168"></a>0,18</td></tr>
<tr><td><a id="p100169"></a>Поддельный пользовательский интерфейс<br>(Spoof User Interface)</td><td><a id="p100170"></a>0,12</td><td><a id="p100171"></a>0,12</td></tr>
<tr><td><a id="p100172"></a>Межсайтовый скриптинг<br>(Cross Site Scripting)</td><td><a id="p100173"></a>0,1</td><td><a id="p100174"></a>0,1</td></tr>
</table>


18. <a id="p100175"></a>По результатам расчета уровню критичности уязвимости применительно к конкретной системе (V) присваивается одно из значений, указанных в таблице 2. Примеры расчета уровня критичности уязвимости представлены в [приложении 1](#p100210) к настоящей Методике.

<a id="p100176"></a>Таблица 2 - Значения итоговой оценки уровня критичности уязвимости


| <a id="p100177"></a>N п/п | <a id="p100178"></a>Итоговая оценка уровня критичности уязвимости | <a id="p100179"></a>Наименование уровня критичности уязвимости |
| --- | --- | --- |
| <a id="p100180"></a>1 | <a id="p100181"></a>V > 8,0 | <a id="p100182"></a>Критический |
| <a id="p100183"></a>2 | <a id="p100184"></a>5,0 $\leq$ V $\leq$ 8,0 | <a id="p100185"></a>Высокий |
| <a id="p100186"></a>3 | <a id="p100187"></a>2,0 $\leq$ V < 5,0 | <a id="p100188"></a>Средний |
| <a id="p100189"></a>4 | <a id="p100190"></a>V < 2,0 | <a id="p100191"></a>Низкий |


19. <a id="p100192"></a>Пересчет значения уровня критичности уязвимости должен осуществляться на постоянной основе (по возможности автоматизированными средствами) при выявлении новых сведений об уязвимости (например, выпуске разработчиком обновлений, устраняющих уязвимость, появление в открытом доступе средств эксплуатации уязвимости).


### <a id="p100193"></a>III. ПРИНЯТИЕ МЕР ЗАЩИТЫ ИНФОРМАЦИИ, НАПРАВЛЕННЫХ НА УСТРАНЕНИЕ УЯЗВИМОСТЕЙ


20. <a id="p100194"></a>В зависимости от уровня критичности уязвимостей программных, программно-аппаратных средств в конкретной информационной системе оператором принимается решение о приоритизации и сроках их устранения.
21. <a id="p100195"></a>В отношении уязвимостей программных, программно-аппаратных средств, которым в соответствии с настоящей Методикой присвоен критический уровень, рекомендуется принять меры по их устранению в течение нескольких часов (до 24 часов) с момента проведения такой оценки.
<a id="p100196"></a>В отношении уязвимостей программных, программно-аппаратных средств, которым в соответствии с настоящей Методикой присвоен высокий уровень критичности, рекомендуется принять меры по их устранению в течение нескольких дней (до 7 дней) с момента проведения такой оценки.
<a id="p100197"></a>В отношении уязвимостей программных, программно-аппаратных средств, которым в соответствии с настоящей Методикой присвоен средний уровень критичности, рекомендуется принять меры по их устранению в течение нескольких недель (до 4 недель) с момента проведения такой оценки.
<a id="p100198"></a>В отношении уязвимостей программных, программно-аппаратных средств, которым в соответствии с настоящей Методикой присвоен низкий уровень критичности, рекомендуется принять меры по их устранению в течение нескольких месяцев (до 4 месяцев) с момента проведения такой оценки.
22. <a id="p100199"></a>Уязвимости программных, программно-аппаратных средств могут быть устранены путем установки обновления программного обеспечения, программно-аппаратного средства или принятия компенсирующих организационных и технических мер защиты информации.
23. <a id="p100200"></a>В случае если уязвимости содержатся в зарубежных программных, программно-аппаратных средствах или программном обеспечении с открытым исходным кодом, решение об установке обновления такого программного обеспечения, программно-аппаратного средства принимается оператором информационной системы с учетом результатов тестирования этого обновления, проведенного в соответствии с [Методикой](https://bukva.ai/docs/metodicheskiy-dokument-metodika-otsenki-urovnya#p100003) тестирования обновлений безопасности программных, программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 года.
24. <a id="p100201"></a>В случае невозможности получения, установки и тестирования обновлений программных, программно-аппаратных средств принимаются компенсирующие меры защиты информации.
25. <a id="p100202"></a>Выбор компенсирующих мер по защите информации осуществляется оператором с учетом структурно-функциональных характеристик информационной системы, а также возможных способов эксплуатации уязвимостей программных, программно-аппаратных средств.
<a id="p100203"></a>Компенсирующими организационными и техническими мерами, направленными на предотвращение возможности эксплуатации уязвимостей, могут являться:
<a id="p100204"></a>изменение конфигурации уязвимых компонентов системы, в том числе в части исключения предоставления доступа к их функциям, исполнение которых может способствовать эксплуатации выявленных уязвимостей;
<a id="p100205"></a>ограничение по использованию уязвимых программных, программно-аппаратных средств или их перевод в режим функционирования, ограничивающий исполнение функций, обращение к которым связано с использованием выявленных уязвимостей (например, отключение уязвимых служб и сетевых протоколов);
<a id="p100206"></a>резервирование компонентов системы, включая резервирование серверов, телекоммуникационного оборудования и каналов связи;
<a id="p100207"></a>использование сигнатур, решающих правил средств защиты информации, обеспечивающих выявление в системе признаков эксплуатации уязвимостей;
<a id="p100208"></a>мониторинг информационной безопасности и выявление событий безопасности информации в системе, связанных с возможностью эксплуатации уязвимостей.





<a id="p100209"></a>Приложение
к Методике оценки уровня
критичности уязвимостей программных,
программно-аппаратных средств

<a id="p100210"></a>**ПРИМЕРЫ**
**РАСЧЕТА УРОВНЯ КРИТИЧНОСТИ УЯЗВИМОСТЕЙ**
**ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ**

<a id="p100211"></a>*Пример* 1.

1. <a id="p100212"></a>Исходные данные об уязвимости:
<a id="p100213"></a>Сведения об уязвимости, содержащиеся на сайте Банка данных угроз безопасности информации ФСТЭК России https://bdu.fstec.ru/vul/2025-01611.
<a id="p100214"></a>Идентификатор: BDU:2025-01611
<a id="p100215"></a>Описание уязвимости: Уязвимость операционных систем FortiOS связана с некорректным присваиванием привилегий. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии.
<a id="p100216"></a>Базовый вектор уязвимости: по CVSS 3.1:
<a id="p100217"></a>**AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H**
<a id="p100218"></a>Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8).
<a id="p100219"></a>Наличие эксплойта: Данные уточняются.
<a id="p100220"></a>Эксплуатация в реальных атаках: Данные уточняются.

#### <a id="p100221"></a>1.1 Исходя из уровня опасности уязвимости BDU:2025-01611 по CVSS 3.1, показателю Icvss присваивается следующее значение:


<a id="p100222"></a>Icvss = 8,8

<a id="p100223"></a>1.2 Исходя из описания уязвимости, показателю последствий воздействий, которым подвергается информационная система при эксплуатации уязвимости присваивается значение "Повышение привилегий (Privilege Escalation)" (H = 0,5):

<a id="p100224"></a>Iimp = 1,0 x 0,5 = 0,5

<a id="p100225"></a>1.3 Исходя из отсутствия сведений о наличии эксплойта и использовании в реальных атаках показателю возможности эксплуатации уязвимости нарушителями присваивается значение "Отсутствуют сведения об эксплуатации в реальных атаках (наличии эксплойта)" (E = 0,1):

<a id="p100226"></a>Iat = 1,0 x 0,1 = 0,1

2. <a id="p100227"></a>Исходные данные об информационной системе:
<a id="p100228"></a>2.1 Сведения о компонентах информационной системы определены в органе (организации) по результатам проведенной инвентаризации.
<a id="p100229"></a>Исходя из данных инвентаризации определено:
<a id="p100230"></a>Тип компонента информационной системы, подверженного уязвимости: межсетевые экраны

<a id="p100231"></a>K = k x K = 0,5 x 0,9 = 0,45

<a id="p100232"></a>Количество уязвимых компонентов информационной системы: 10 - 50%

<a id="p100233"></a>L = l x L = 0,2 x 0,6 = 0,12

<a id="p100234"></a>Влияние на эффективность защиты периметра информационной системы: уязвимое программное, программно-аппаратное средство доступно из сети "Интернет".

<a id="p100235"></a>P = p x P = 0,3 x 1,1 = 0,33

<a id="p100236"></a>Таким образом, определяется показатель влияния уязвимости на функционирование информационной системы Iinfr.

<a id="p100237"></a>Iinfr = k x K + l x L + p x P = 0,45 + 0,12 + 0,33 = 0,9

3. <a id="p100238"></a>Расчет уровня критичности уязвимости программных, программно-аппаратных средств в информационной системе V осуществляется с использованием данных, полученных в предыдущих пунктах, по формуле:

<a id="p100239"></a> $V = I_{cvss} \times I_{infr} \times (I_{at} + I_{imp}) = 8,8 \times 0,9 \times (0,1 + 0,5) \approx 4,75$ 

<a id="p100240"></a>Таким образом, уровню критичности указанной уязвимости для имеющейся информационной системы присваивается значение "Средний" (2,0 $\leq$ V < 5,0).

<a id="p100241"></a>*Пример* 2.

1. <a id="p100242"></a>Исходные данные об уязвимости:
<a id="p100243"></a>Сведения об уязвимости, содержащиеся на сайте Банка данных угроз безопасности информации ФСТЭК России https://bdu.fstec.ru/vul/2025-03219.
<a id="p100244"></a>Идентификатор: BDU:2025-03219.
<a id="p100245"></a>Описание уязвимости: Уязвимость контроллера входящего трафика в кластере Kubernetes ingress-nginx связана с недостаточным пространственным разделением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в контексте контроллера.
<a id="p100246"></a>Базовый вектор уязвимости: по CVSS 3.1:
<a id="p100247"></a>**AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H**
<a id="p100248"></a>Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8).
<a id="p100249"></a>Наличие эксплойта: Существует в открытом доступе.
<a id="p100250"></a>Эксплуатация в реальных атаках: Данные уточняются.

#### <a id="p100251"></a>1.1 Исходя из уровня опасности уязвимости BDU:2025-03219 по CVSS 3.1, показателю Icvss присваивается следующее значение:


<a id="p100252"></a>Icvss = 9,8

<a id="p100253"></a>1.2 Исходя из описания уязвимости, показателю последствий воздействий, которым подвергается информационная система при эксплуатации уязвимости присваивается значение "Выполнение произвольного кода (Arbitrary Code Execution)" (H = 0,5):

<a id="p100254"></a>Iimp = 1,0 x 0,5 = 0,5

<a id="p100255"></a>1.3 Исходя из отсутствия сведений об использовании уязвимости в реальных атаках и наличию сведений о существовании эксплойта показателю возможности эксплуатации уязвимости нарушителями присваивается значение "Имеются сведения о наличии средств эксплуатации уязвимости" (E = 0,3):

<a id="p100256"></a>Iat = 1,0 x 0,3 = 0,3

2. <a id="p100257"></a>Исходные данные об информационной системе:
<a id="p100258"></a>2.1 Сведения о компонентах информационной системы определены в органе (организации) по результатам проведенной инвентаризации.
<a id="p100259"></a>Исходя из данных инвентаризации определено:
<a id="p100260"></a>Тип компонента информационной системы, подверженного уязвимости:
<a id="p100261"></a>компоненты системы, обеспечивающие реализацию критических процессов (бизнес-процессов), функций, полномочий;
<a id="p100262"></a>серверы (центральные вычислительные узлы);
<a id="p100263"></a>пользовательские устройства (автоматизированные рабочие места);
<a id="p100264"></a>системы хранения данных.
<a id="p100265"></a>В соответствии с [пунктом 15](#p100049) настоящей Методики в случае, если несколько компонентов информационной системы подвержены уязвимости, то итоговой оценке компонента информационной системы присваивается наибольшее из значений оценки показателя (K).

<a id="p100266"></a>K = k x K = 0,5 x 1,1 = 0,55

<a id="p100267"></a>Количество уязвимых компонентов информационной системы:
<a id="p100268"></a>более 70% (компоненты системы, обеспечивающие реализацию критических процессов (бизнес-процессов), функций, полномочий);
<a id="p100269"></a>50 - 70% (серверы (центральные вычислительные узлы));
<a id="p100270"></a>10 - 50% (пользовательские устройства (автоматизированные рабочие места));
<a id="p100271"></a>10 - 50% (системы хранения данных).
<a id="p100272"></a>В соответствии с подпунктом 2.8 настоящей Методики в случае, если несколько компонентов информационной системы подвержены уязвимости, то итоговой оценке компонента информационной системы присваивается наибольшее из значений оценки показателя (L).

<a id="p100273"></a>L = l x L = 0,2 x 1,0 = 0,2

<a id="p100274"></a>Влияние на эффективность защиты периметра информационной системы: уязвимое программное, программно-аппаратное средство доступно из сети "Интернет".

<a id="p100275"></a>P = p x P = 0,3 x 1,1 = 0,33

<a id="p100276"></a>Таким образом, определяется показатель влияния уязвимости на функционирование информационной системы Iinfr.

<a id="p100277"></a>Iinfr = k x K + l x L + p x P = 0,55 + 0,2 + 0,33 = 1,08

3. <a id="p100278"></a>Расчет уровня критичности уязвимости программных, программно-аппаратных средств в информационной системе V осуществляется с использованием данных, полученных в предыдущих пунктах, по формуле:

<a id="p100279"></a> $V = I_{cvss} \times I_{infr} \times (I_{at} + I_{imp}) = 9,8 \times 1,08 \times (0,3 + 0,5) \approx 8,47$ 

<a id="p100280"></a>Таким образом, уровню критичности указанной уязвимости для имеющейся информационной системы присваивается значение "Критический" (V > 8,0).



<a id="p100281"></a>

---