---
title: "\"Методический документ \"Руководство по организации процесса управления уязвимостями в органе (организации)\""
issuer: "Федеральная служба по техническому и экспортному контролю"
status: действует
canonical: "https://bukva.ai/docs/metodicheskiy-dokument-rukovodstvo-po"
---

## "Методический документ "Руководство по организации процесса управления уязвимостями в органе (организации)"

# "Методический документ "Руководство по организации процесса управления уязвимостями в органе (организации)"

(утв. ФСТЭК России 17.05.2023)

> [!IMPORTANT]
> Текст документа приведен в соответствии с публикацией на сайте https://fstec.ru по состоянию на 09.06.2023.


<div align="center">

<a id="p100001"></a>**ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ**

</div>


<div align="right">

<a id="p100002"></a>Утвержден<br>
ФСТЭК России<br>
17 мая 2023 г.

</div>


<div align="center">

<a id="p100003"></a>**МЕТОДИЧЕСКИЙ ДОКУМЕНТ**

</div>



## <a id="p100004"></a>РУКОВОДСТВО

<div align="center">

**ПО ОРГАНИЗАЦИИ ПРОЦЕССА УПРАВЛЕНИЯ УЯЗВИМОСТЯМИ**<br>
**В ОРГАНЕ (ОРГАНИЗАЦИИ)**

</div>



### 1. <a id="p100005"></a>ОБЩИЕ ПОЛОЖЕНИЯ


<a id="p100006"></a>1.1. Настоящее руководство по управлению уязвимостями в органе (организации) (далее - Руководство) разработано в соответствии с [подпунктом 4 пункта 8](https://bukva.ai/docs/ukaz-1085#p100086) Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.
<a id="p100007"></a>1.2. Руководство определяет состав и содержание работ по анализу и устранению уязвимостей (далее - управление уязвимостями), выявленных в программных, программно-аппаратных средствах информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, информационно-телекоммуникационных инфраструктурах центров обработки данных, на базе которых функционируют эти системы и сети (далее - информационные системы).
<a id="p100008"></a>1.3. Настоящее Руководство подлежит применению государственными органами, организациями, в том числе субъектами критической информационной инфраструктуры Российской Федерации, являющимися операторами информационных (автоматизированных) систем (далее - органы (организации)) при принятии ими мер по устранению уязвимостей программных, программно-аппаратных средств информационных систем в соответствии с требованиями о защите информации, содержащейся в государственных информационных системах, требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, а также иными нормативными правовыми актами и методическими документами ФСТЭК России.
<a id="p100009"></a>1.4. Задачами Руководства являются создание основы для разработки детальных регламентов и стандартов по управлению уязвимостями с учетом особенностей функционирования органов (организаций) и организация взаимодействия между структурными подразделениями органов (организаций) по вопросам устранения уязвимостей.
<a id="p100010"></a>1.5. Управление уязвимостями сертифицированных программных, программно-аппаратных средств защиты информации обеспечивается с учетом эксплуатационной документации на них, а также рекомендаций разработчиков.
<a id="p100011"></a>1.6. В Руководстве используются термины и определения, установленные национальными стандартами ГОСТ Р 50922-2006 "Защита информации. Основные термины и определения", ГОСТ Р 56545-2015 "Защита информации. Уязвимости информационных систем. Правила описания уязвимостей", ГОСТ Р 56546-2015 "Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем", ГОСТ Р 59547-2021 "Мониторинг информационной безопасности", ГОСТ Р 59709-2022 "Защита информации. Управление компьютерными инцидентами. Термины и определения" и иными национальными стандартами в области защиты информации и обеспечения информационной безопасности.
<a id="p100012"></a>1.7. В Руководстве используются обозначения на схемах, приведенные в [приложении](#p100427) к настоящему документу.


### 2. <a id="p100013"></a>ПРОЦЕСС УПРАВЛЕНИЯ УЯЗВИМОСТЯМИ


<a id="p100014"></a>2.1. Процесс управления уязвимостями включает пять основных этапов (рисунок 2.1).

<a id="p100015"></a> ![2. Процесс управления уязвимостями](https://i.bukva.ai/TFBfe5JcV/img_0.png) 

<div align="center">

<a id="p100016"></a>Рисунок 2.1. - Этапы работ по управлению уязвимостями

</div>


<a id="p100017"></a>На этапе мониторинга уязвимостей и оценки их применимости осуществляется выявление уязвимостей на основании данных, получаемых из внешних и внутренних источников, и принятие решений по их последующей обработке.
<a id="p100018"></a>На этапе оценки уязвимостей определяется уровень критичности уязвимостей применительно к информационным системам органа (организации).
<a id="p100019"></a>На этапе определения методов и приоритетов устранения уязвимостей определяется приоритетность устранения уязвимостей и выбираются методы их устранения: обновление программного обеспечения и (или) применение компенсирующих мер защиты информации.
<a id="p100020"></a>На этапе устранения уязвимостей принимаются меры, направленные на устранение или исключение возможности использования (эксплуатации) выявленных уязвимостей.
<a id="p100021"></a>На этапе контроля устранения уязвимостей осуществляется сбор и обработка данных о процессе управления уязвимостями и его результатах, а также принятие решений по улучшению данного процесса.
<a id="p100022"></a>2.2. Процесс управления уязвимостями организуется для всех информационных систем органа (организации) и должен предусматривать постоянную и непрерывную актуализацию сведений об уязвимостях и объектах информационной системы. При изменении статуса уязвимостей (применимость к информационным системам, наличие исправлений, критичность) должны корректироваться способы их устранения.

#### <a id="p100023"></a>2.3 Процесс управления уязвимостями связан с другими процессами и процедурами деятельности органа (организации):

<a id="p100024"></a>мониторинг информационной безопасности - процесс постоянного наблюдения и анализа результатов регистрации событий безопасности и иных данных с целью выявления нарушений безопасности информации, угроз безопасности информации и уязвимостей;
<a id="p100025"></a>оценка защищенности - анализ возможности использования обнаруженных уязвимостей для реализации компьютерных атак на информационные системы органа (организации);
<a id="p100026"></a>оценка угроз безопасности информации - выявление и оценка актуальности угроз, реализация (возникновение) которых возможна в информационных системах органа (организации);
<a id="p100027"></a>управление конфигурацией - контроль изменений, состава и настроек программного и программно-аппаратного обеспечения информационных систем;
<a id="p100028"></a>управление обновлениями - приобретение, анализ и развертывание обновлений программного обеспечения в органе (организации);
<a id="p100029"></a>применение компенсирующих мер защиты информации - разработка и применение мер защиты информации, которые применяются в информационной системе взамен отдельных мер защиты информации, подлежащих реализации в соответствии с требованиями по защите информации, в связи с невозможностью их применения.
<a id="p100030"></a>Схема процесса управления уязвимостями представлена на [рисунке 2.2](#p100036).

#### <a id="p100031"></a>2.4 Участниками процесса управления уязвимостями являются:

<a id="p100032"></a>а) подразделение, осуществляющие функции по обеспечению информационной безопасности (далее - подразделение по защите):
<a id="p100033"></a>руководитель;
<a id="p100034"></a>специалист, ответственный за проведение оценки угроз безопасности информации (далее - аналитик угроз);

<a id="p100035"></a> ![2. Процесс управления уязвимостями](https://i.bukva.ai/TFBfe5JcV/img_1.jpg) 

<div align="center">

<a id="p100036"></a>Рисунок 2.2. - Схема процесса управления уязвимостями

<a id="p100037"></a>специалист, ответственный за проведение оценки защищенности;

</div>

<a id="p100038"></a>специалист, ответственный за внедрение мер защиты информации;
<a id="p100039"></a>б) подразделение, ответственное за внедрение информационных технологий (далее - подразделение ИТ):
<a id="p100040"></a>руководитель;
<a id="p100041"></a>специалист.
<a id="p100042"></a>По решению руководителя органа (организации) в процессе управления уязвимостями могут быть задействованы другие подразделения и специалисты, в частности, подразделение, ответственное за организацию закупок программных и программно-аппаратных средств, подразделение, ответственное за эксплуатацию инженерных систем.
<a id="p100043"></a>Распределение операций, реализуемых в рамках процесса управления уязвимостями, по ролям работников подразделений ИТ и подразделения по защите органа (организации) <1>, представлено в [таблице 2.1](#p100046).

<a id="p100044"></a>

---

<a id="p100045"></a><1> Роли могут распределяться и (или) совмещаться в зависимости от укомплектованности подразделений

<a id="p100046"></a>Таблица 2.1.


<table>
<colgroup><col width="38%"><col width="10%"><col width="10%"><col width="10%"><col width="10%"><col width="10%"><col width="10%"></colgroup>
<tr><td rowspan="2"><a id="p100047"></a>Операции</td><td colspan="4"><a id="p100048"></a>Подразделение по защите</td><td colspan="2"><a id="p100049"></a>Подразделение ИТ</td></tr>
<tr><td><a id="p100050"></a>Руководитель</td><td><a id="p100051"></a>Аналитик угроз</td><td><a id="p100052"></a>Специалист по проведению оценки защищенности</td><td><a id="p100053"></a>Специалист по внедрению мер защиты информации</td><td><a id="p100054"></a>Руководитель</td><td><a id="p100055"></a>Специалист</td></tr>
<tr><td><a id="p100056"></a>1</td><td><a id="p100057"></a>2</td><td><a id="p100058"></a>3</td><td><a id="p100059"></a>4</td><td><a id="p100060"></a>5</td><td><a id="p100061"></a>6</td><td><a id="p100062"></a>7</td></tr>
<tr><td colspan="7"><a id="p100063"></a>Мониторинг уязвимостей и оценка их применимости</td></tr>
<tr><td><a id="p100064"></a>Анализ информации об уязвимостях</td><td><a id="p100065"></a>+<br>(О)</td><td><a id="p100066"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100067"></a>Оценка применимости уязвимости</td><td><a id="p100068"></a>+<br>(О)</td><td><a id="p100069"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100070"></a>Принятие решений на получение дополнительной информации</td><td></td><td><a id="p100071"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100072"></a>Постановка задачи на сканирование объектов</td><td><a id="p100073"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100074"></a>Сканирование объектов</td><td><a id="p100075"></a>+<br>(О)</td><td></td><td><a id="p100076"></a>+<br>(И)</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100077"></a>Оценка защищенности</td><td><a id="p100078"></a>+<br>(О)</td><td></td><td><a id="p100079"></a>+<br>(И)</td><td></td><td></td><td></td></tr>
<tr><td colspan="7"><a id="p100080"></a>Оценка уязвимостей</td></tr>
<tr><td><a id="p100081"></a>Получение информации об объектах, подверженных уязвимости</td><td></td><td><a id="p100082"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100083"></a>Определение уровня опасности</td><td></td><td><a id="p100084"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100085"></a>Определение влияния на информационные системы</td><td></td><td><a id="p100086"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100087"></a>Расчет критичности уязвимости</td><td><a id="p100088"></a>+<br>(О)</td><td><a id="p100089"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td colspan="7"><a id="p100090"></a>Определение методов и приоритетов устранения уязвимостей</td></tr>
<tr><td><a id="p100091"></a>Определение приоритетности устранения уязвимостей</td><td><a id="p100092"></a>+<br>(О)</td><td><a id="p100093"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100094"></a>Определение методов устранения уязвимостей</td><td><a id="p100095"></a>+<br>(О)</td><td><a id="p100096"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100097"></a>Принятие решения о срочной установке обновлений</td><td><a id="p100098"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100099"></a>Создание заявки на срочную установку обновления</td><td><a id="p100100"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100101"></a>Создание задания на установку обновлений</td><td></td><td><a id="p100102"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100103"></a>Принятие решения о срочной реализации компенсирующих мер защиты информации</td><td><a id="p100104"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100105"></a>Создание задания на реализацию компенсирующих мер защиты информации</td><td></td><td><a id="p100106"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td></tr>
<tr><td colspan="7"><a id="p100107"></a>Устранение уязвимостей</td></tr>
<tr><td><a id="p100108"></a>Согласование установки с руководством подразделения ИТ</td><td><a id="p100109"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td><a id="p100110"></a>+<br>(У)</td><td></td></tr>
<tr><td><a id="p100111"></a>Тестирование обновления</td><td></td><td></td><td></td><td></td><td><a id="p100112"></a>+<br>(О)</td><td><a id="p100113"></a>+<br>(И)</td></tr>
<tr><td><a id="p100114"></a>Установка обновления в тестовом сегменте</td><td></td><td></td><td></td><td></td><td><a id="p100115"></a>+<br>(О)</td><td><a id="p100116"></a>+<br>(И)</td></tr>
<tr><td><a id="p100117"></a>Принятие решения об установке обновления</td><td></td><td></td><td></td><td></td><td><a id="p100118"></a>+<br>(ОИ)</td><td></td></tr>
<tr><td><a id="p100119"></a>Установка обновления</td><td></td><td></td><td></td><td></td><td><a id="p100120"></a>+<br>(О)</td><td><a id="p100121"></a>+<br>(И)</td></tr>
<tr><td><a id="p100122"></a>Формирование плана установки обновлений</td><td></td><td></td><td></td><td></td><td><a id="p100123"></a>+<br>(ОИ)</td><td></td></tr>
<tr><td><a id="p100124"></a>Разработка и реализация компенсирующих мер защиты информации</td><td><a id="p100125"></a>+<br>(О)</td><td><a id="p100126"></a>+<br>(И)</td><td></td><td><a id="p100127"></a>+<br>(И)</td><td></td><td><a id="p100128"></a>+<br>(У)</td></tr>
<tr><td colspan="7"><a id="p100129"></a>Разработка и реализация компенсирующих мер защиты информации</td></tr>
<tr><td><a id="p100130"></a>Определение мер защиты информации и ответственных за их реализацию</td><td><a id="p100131"></a>+<br>(О)</td><td><a id="p100132"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100133"></a>Согласование привлечения работников</td><td><a id="p100134"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td><a id="p100135"></a>+<br>(У)</td><td></td></tr>
<tr><td><a id="p100136"></a>Реализация организационных мер защиты информации</td><td><a id="p100137"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td><a id="p100138"></a>+<br>(У)</td><td></td></tr>
<tr><td><a id="p100139"></a>Настройка средств защиты информации</td><td><a id="p100140"></a>+<br>(О)</td><td></td><td></td><td><a id="p100141"></a>+<br>(И)</td><td></td><td><a id="p100142"></a>+<br>(У)</td></tr>
<tr><td><a id="p100143"></a>Организация анализа событий безопасности</td><td><a id="p100144"></a>+<br>(О)</td><td></td><td></td><td><a id="p100145"></a>+<br>(И)</td><td></td><td></td></tr>
<tr><td><a id="p100146"></a>Внесение изменений в ИТ-инфраструктуру</td><td></td><td><a id="p100147"></a>+<br>(У)</td><td></td><td></td><td><a id="p100148"></a>+<br>(О)</td><td><a id="p100149"></a>+<br>(И)</td></tr>
<tr><td colspan="7"><a id="p100150"></a>Контроль устранения уязвимостей</td></tr>
<tr><td><a id="p100151"></a>Принятие решения о способе контроля</td><td><a id="p100152"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100153"></a>Проверка объектов на наличие уязвимостей</td><td><a id="p100154"></a>+<br>(О)</td><td></td><td><a id="p100155"></a>+<br>(И)</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100156"></a>Оценка защищенности</td><td><a id="p100157"></a>+<br>(О)</td><td></td><td><a id="p100158"></a>+<br>(И)</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100159"></a>Выявление отклонений и неисполнений</td><td><a id="p100160"></a>+<br>(О)</td><td></td><td><a id="p100161"></a>+<br>(И)</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100162"></a>Разработка предложений по улучшению процесса управления уязвимостями</td><td><a id="p100163"></a>+<br>(ОИ)</td><td><a id="p100164"></a>+<br>(И)</td><td></td><td></td><td><a id="p100165"></a>+<br>(У)</td><td></td></tr>
<tr><td colspan="7"><a id="p100166"></a>Разработка предложений по улучшению процесса управления уязвимостями</td></tr>
<tr><td><a id="p100167"></a>Определение причин отклонений и (или) неисполнений</td><td><a id="p100168"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100169"></a>Корректировка механизмов мониторинга</td><td><a id="p100170"></a>+<br>(О)</td><td><a id="p100171"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100172"></a>Добавление источника сведений об уязвимостях</td><td><a id="p100173"></a>+<br>(О)</td><td><a id="p100174"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100175"></a>Корректировка механизмов оценки уязвимостей</td><td><a id="p100176"></a>+<br>(О)</td><td><a id="p100177"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100178"></a>Согласование сроков устранения уязвимости</td><td><a id="p100179"></a>+<br>(ОИ)</td><td></td><td></td><td></td><td><a id="p100180"></a>+<br>(У)</td><td></td></tr>
<tr><td><a id="p100181"></a>Создание заявки на срочную реализацию компенсирующих мер защиты информации</td><td><a id="p100182"></a>+<br>(О)</td><td><a id="p100183"></a>+<br>(И)</td><td></td><td></td><td></td><td></td></tr>
<tr><td colspan="7"><a id="p100184"></a>Обозначения:<br>О - Ответственный - работник, ответственный за завершение выполнения задачи;<br>И - Исполнитель - работник, непосредственно выполняющий задачу;<br>У - Участник - работник, участие которого требуется для выполнения задачи</td></tr>
</table>



### 3. <a id="p100185"></a>МОНИТОРИНГ УЯЗВИМОСТЕЙ И ОЦЕНКА ИХ ПРИМЕНИМОСТИ


<a id="p100186"></a>3.1. На этапе мониторинга уязвимостей и оценки их применимости осуществляется выявление уязвимостей на основании данных из следующих источников:
<a id="p100187"></a>а) внутренние источники:
<a id="p100188"></a>системы управления информационной инфраструктурой (далее - ИТ-инфраструктура);
<a id="p100189"></a>базы данных управления конфигурациями <2>;

<a id="p100190"></a>

---

<a id="p100191"></a><2> Системы класса CMDB (англ. Configuration Management Database)

<a id="p100192"></a>документация на информационные системы;
<a id="p100193"></a>электронные базы знаний органов (организаций);
<a id="p100194"></a>б) база данных уязвимостей, содержащаяся в Банке данных угроз безопасности информации (далее - БДУ) ФСТЭК России <3>;

<a id="p100195"></a>

---

<a id="p100196"></a><3> Адрес сайта БДУ ФСТЭК России: https://bdu.fstec.ru

<a id="p100197"></a>в) внешние источники:
<a id="p100198"></a>базы данных, содержащие сведения об известных уязвимостях;
<a id="p100199"></a>официальные информационные ресурсы разработчиков программных и программно-аппаратных средств и исследователей в области информационной безопасности.
<a id="p100200"></a>Источники данных могут уточняться или дополняться с учетом особенностей функционирования органа (организации).
<a id="p100201"></a>3.2. Схема этапа мониторинга уязвимостей и оценки их применимости представлена на [рисунке 3.1](#p100205) <4>.

<a id="p100202"></a>

---

<a id="p100203"></a><4> В настоящем Руководстве представлены типовые схемы этапов процесса устранения уязвимостей

<a id="p100204"></a> ![3. Мониторинг уязвимостей и оценка их применимости](https://i.bukva.ai/TFBfe5JcV/img_2.jpg) 

<div align="center">

<a id="p100205"></a>Рисунок 3.1. - Схема этапа мониторинга уязвимостей<br>
и оценки их применимости

</div>


<a id="p100206"></a>На этапе мониторинга уязвимостей и оценки их применимости выполняются операции, приведенные в таблице 3.1.

<div align="right">

<a id="p100207"></a>Таблица 3.1.

</div>



| <a id="p100208"></a>N п/п | <a id="p100209"></a>Наименование операции | <a id="p100210"></a>Описание операции |
| --- | --- | --- |
| <a id="p100211"></a>1. | <a id="p100212"></a>Анализ информации об уязвимости | <a id="p100213"></a>Анализ информации из различных источников с целью поиска актуальных и потенциальных уязвимостей и оценки их применимости к информационным системам органа (организации).<br>Агрегирование и корреляция собираемых данных об уязвимостях |
| <a id="p100214"></a>2. | <a id="p100215"></a>Оценка применимости уязвимости | <a id="p100216"></a>На основе информации об объектах информационных систем и их состоянии определяется применимость уязвимости к информационным системам органа (организации) с целью определения уязвимостей, не требующих дальнейшей обработки (не релевантных уязвимостей).<br>Оценка применимости уязвимостей производится:<br>на основе анализа данных об ИТ-инфраструктуре, полученных из баз данных управления конфигурациями в рамках процесса "Управление конфигурацией";<br>на основе анализа данных о возможных объектах воздействия, полученных в результате моделирования угроз в рамках процесса "Оценка угроз";<br>по результатам оценки защищенности [(п. 6)](#p100226) |
| <a id="p100217"></a>3. | <a id="p100218"></a>Принятие решений на получение дополнительной информации | <a id="p100219"></a>Запрос дополнительной информации об уязвимости (сканирование объектов, оценка защищенности), если имеющихся данных недостаточно для принятия решений по управлению уязвимостями |
| <a id="p100220"></a>4. | <a id="p100221"></a>Постановка задачи на сканирование объектов | <a id="p100222"></a>Запрос на внеплановое сканирование объектов информационных систем в случае недостаточности либо неактуальности имеющихся данных, а также в случае получения информации об уязвимости после последнего сканирования |
| <a id="p100223"></a>5. | <a id="p100224"></a>Сканирование объектов | <a id="p100225"></a>Поиск уязвимостей и недостатков с помощью автоматизированных систем анализа защищенности.<br>Выбор объектов и времени сканирования, уведомление заинтересованных подразделений (например, ситуационного центра, подразделения ИТ) о проведении сканирования и дальнейшее сканирование выбранных объектов на наличие уязвимости |
| <a id="p100226"></a>6. | <a id="p100227"></a>Оценка защищенности | <a id="p100228"></a>Экспертная оценка возможности применения уязвимости к информационных системах.<br>В ходе оценки защищенности осуществляется проверка возможности эксплуатации уязвимости в информационных системах органа (организации) с использованием PoC [<5>](#p100230) или средства эксплуатации уязвимости, в том числе, в ходе тестирования на проникновение (тестирования системы защиты информации путем осуществления попыток несанкционированного доступа (воздействия) к информационной системе в обход ее системы защиты информации) |



<a id="p100229"></a>

---

<a id="p100230"></a><5> PoC (англ. Proof of Concept, проверка концепции) - моделирование эксплуатации уязвимости

<a id="p100231"></a>3.3. На основе [таблицы 3.1](#p100207). в органе (организации) должно разрабатываться детальное описание операций, включающее наименование операций, описание операций, исполнителей, продолжительность, входные и выходные данные. Детальное описание операций включается в организационно-распорядительные документы по защите информации органа (организации).


### 4. <a id="p100232"></a>ОЦЕНКА УЯЗВИМОСТЕЙ


<a id="p100233"></a>4.1. Оценка уязвимостей производится с целью определения уровня критичности уязвимостей применительно к информационным системам органа (организации).
<a id="p100234"></a>4.2. На этапе оценки уязвимостей выполняются операции, приведенные в таблице 4.1.

<div align="right">

<a id="p100235"></a>Таблица 4.1.

</div>



| <a id="p100236"></a>N п/п | <a id="p100237"></a>Наименование операции | <a id="p100238"></a>Описание операции |
| --- | --- | --- |
| <a id="p100239"></a>1. | <a id="p100240"></a>Получение информации об объектах, подверженных уязвимости | <a id="p100241"></a>Получение выборки объектов информационных систем, подверженных уязвимости |
| <a id="p100242"></a>2. | <a id="p100243"></a>Определение уровня опасности уязвимости | <a id="p100244"></a>Расчет базовой, контекстной и временной метрик по методике CVSS с использованием калькулятора CVSS [<6>](#p100252) V3 или V3.1, размещенного в БДУ ФСТЭК России [<7>](#p100253) |
| <a id="p100245"></a>3. | <a id="p100246"></a>Определение влияния на информационные системы | <a id="p100247"></a>Определение влияния уязвимого компонента на защищенность информационных систем выполняется с использованием результатов процесса "Оценка угроз" (в части сведений о недопустимых негативных последствиях и возможных объектах воздействий), при этом могут быть использованы данные об ИТ-инфраструктуре, полученные из баз данных управления конфигурациями (отдельные результаты из процесса "Управление конфигурацией") |
| <a id="p100248"></a>4. | <a id="p100249"></a>Расчет критичности уязвимости | <a id="p100250"></a>Получение значений уровней критичности обнаруженных уязвимостей |



<a id="p100251"></a>

---

<a id="p100252"></a><6> CVSS (англ. Common Vulnerability Scoring System) - общая система оценки уязвимостей (адрес: https://www.first.org/cvss)
<a id="p100253"></a><7> Адреса: https://bdu.fstec.ru/calc3, https://bdu.fstec.ru/calc31

<a id="p100254"></a>Операции по определению уровня опасности уязвимости, ее влияния на информационные системы и расчету критичности уязвимости выполняются в соответствии с [Методикой](https://bukva.ai/docs/metodicheskiy-dokument-metodika-otsenki-urovnya) оценки уровня критичности уязвимостей программных и программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г. <8>

<a id="p100255"></a>

---

<a id="p100256"></a><8> Адрес: https://bdu.fstec.ru/documents/31

<a id="p100257"></a>4.3. На основе [таблицы 4.1](#p100235). в органе (организации) должно разрабатываться детальное описание операций, включающее наименование операций, описание операций, исполнителей, продолжительность, входные и выходные данные. Детальное описание операций включается в организационно-распорядительные документы по защите информации органа (организации).

#### <a id="p100258"></a>4.4 Схема этапа оценки уязвимостей представлена на рисунке 4.1.


<a id="p100259"></a> ![4. Оценка уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_3.jpg) 

<div align="center">

<a id="p100260"></a>Рисунок 4.1. - Схема этапа оценки уязвимостей

</div>



### 5. <a id="p100261"></a>ОПРЕДЕЛЕНИЕ МЕТОДОВ И ПРИОРИТЕТОВ УСТРАНЕНИЯ УЯЗВИМОСТЕЙ



#### <a id="p100262"></a>5.1 На этапе определения методов и приоритетов устранения уязвимостей решаются задачи:

<a id="p100263"></a>определения приоритетности устранения уязвимостей;
<a id="p100264"></a>выбора методов устранения уязвимостей: обновление программного обеспечения и (или) применение компенсирующих мер защиты информации.
<a id="p100265"></a>На этапе определения методов и приоритетов устранения уязвимостей выполняются операции, приведенные в таблице 5.1.

<div align="right">

<a id="p100266"></a>Таблица 5.1.

</div>



| <a id="p100267"></a>N п/п | <a id="p100268"></a>Наименование операции | <a id="p100269"></a>Описание операции |
| --- | --- | --- |
| <a id="p100270"></a>1. | <a id="p100271"></a>Определение приоритетности устранения уязвимостей | <a id="p100272"></a>Определение приоритетности устранения уязвимостей в соответствии с результатами расчета критичности уязвимостей на этапе оценки уязвимостей (этап 4) |
| <a id="p100273"></a>2. | <a id="p100274"></a>Определение методов устранения уязвимостей | <a id="p100275"></a>Выбор метода устранения уязвимости: установка обновления или применение компенсирующих мер защиты информации |
| <a id="p100276"></a>3. | <a id="p100277"></a>Принятие решения о срочной установке обновлений | <a id="p100278"></a>При обнаружении критической уязвимости может быть принято решение о срочной установке обновления программного обеспечения объектов информационных систем, подверженных уязвимости |
| <a id="p100279"></a>4. | <a id="p100280"></a>Создание заявки на срочную установку обновления | <a id="p100281"></a>Заявка на срочную установку обновления направляется на согласование руководителю подразделения ИТ |
| <a id="p100282"></a>5. | <a id="p100283"></a>Принятие решения о срочной реализации компенсирующих мер защиты информации | <a id="p100284"></a>При обнаружении критической уязвимости может быть принято решение о срочной реализации компенсирующих мер защиты информации в качестве временного решения до установки обновления |
| <a id="p100285"></a>6. | <a id="p100286"></a>Создание заявки на установку обновления | <a id="p100287"></a>Заявка создается в случае, если определено, что установка обновления для устранения данной уязвимости не запланирована |
| <a id="p100288"></a>7. | <a id="p100289"></a>Создание заявки на реализацию компенсирующих мер защиты информации | <a id="p100290"></a>Заявка на реализацию компенсирующих мер защиты информации формируется при отсутствии возможности установки обновления, а также в случае необходимости принятия мер до устранения уязвимости |


<a id="p100291"></a>5.2. Для организации устранения уязвимостей между работниками подразделения защиты и подразделения ИТ предварительно согласовываются:
<a id="p100292"></a>сроки установки обновлений, устраняющих уязвимости;
<a id="p100293"></a>форма и способы передачи информации об уязвимостях.
<a id="p100294"></a>5.3. На основе [таблицы 5.1](#p100266). в органе (организации) должно разрабатываться детальное описание операций, включающее наименование операций, описание операций, исполнителей, продолжительность, входные и выходные данные. Детальное описание операций включается в организационно-распорядительные документы по защите информации органа (организации).
<a id="p100295"></a>5.4. Схема этапа определения методов и приоритетов устранения уязвимостей представлена на рисунке 5.1.

<a id="p100296"></a> ![5. Определение методов и приоритетов устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_4.jpg) 

<div align="center">

<a id="p100297"></a>Рисунок 5.1. - Схема этапа определения методов<br>
и приоритетов устранения уязвимостей

</div>



### 6. <a id="p100298"></a>УСТРАНЕНИЕ УЯЗВИМОСТЕЙ


<a id="p100299"></a>6.1. На этапе устранения уязвимостей принимаются меры, направленные на устранение или исключение возможности использования (эксплуатации) уязвимостей, выявленные на этапе мониторинга. При этом выполняются операции, представленные в таблице 6.1.

<div align="right">

<a id="p100300"></a>Таблица 6.1.

</div>



| <a id="p100301"></a>N п/п | <a id="p100302"></a>Наименование операции | <a id="p100303"></a>Описание операции |
| --- | --- | --- |
| <a id="p100304"></a>1. | <a id="p100305"></a>Согласование установки с руководством подразделения ИТ | <a id="p100306"></a>Срочная установка обновлений программного обеспечения предварительно согласовывается с руководством подразделения ИТ |
| <a id="p100307"></a>2. | <a id="p100308"></a>Тестирование обновления [<9>](#p100326) | <a id="p100309"></a>Выявление потенциально опасных функциональных возможностей, незадекларированных разработчиком программных, программно-аппаратных средств, в том числе политических баннеров, лозунгов, призывов и иной противоправной информации (далее - недекларированные возможности) |
| <a id="p100310"></a>3. | <a id="p100311"></a>Установка обновления в тестовом сегменте | <a id="p100312"></a>Установка обновлений на выбранном тестовом сегменте информационной системы в целях определения влияния их установки на ее функционирование |
| <a id="p100313"></a>4. | <a id="p100314"></a>Принятие решения об установке обновления | <a id="p100315"></a>В случае, если негативного влияния от установки обновления на выбранном сегменте системы не выявлено, принимается решение о его распространении в системе.<br>В случае обнаружения негативного влияния от установки обновления на выбранном сегменте системы дальнейшее распространение обновления не осуществляется, при этом для нейтрализации уязвимости применяются компенсирующие меры защиты информации |
| <a id="p100316"></a>5. | <a id="p100317"></a>Установка обновления | <a id="p100318"></a>Распространение обновления на объекты информационных систем |
| <a id="p100319"></a>6. | <a id="p100320"></a>Формирование плана установки обновлений | <a id="p100321"></a>Уязвимости, для устранения которых не была определена необходимость срочной установки обновлений, устраняются в ходе плановой установки обновлений.<br>Формирование плана обновлений осуществляется с учетом заявок на установку обновлений |
| <a id="p100322"></a>7. | <a id="p100323"></a>Разработка и реализация компенсирующих мер защиты информации | <a id="p100324"></a>Разработка и применение мер защиты информации, которые применяются в информационных системах взамен отдельных мер защиты информации, подлежащих реализации в соответствии с требованиями по защите информации, в связи с невозможностью их установки, обнаружением негативного влияния от установки обновления, а также в случае необходимости принятия мер до устранения уязвимости.<br>К компенсирующим мерам защиты информации могут относиться: организационные меры защиты информации, настройка средств защиты информации, анализ событий безопасности, внесение изменений в ИТ-инфраструктуру |



<a id="p100325"></a>

---

<a id="p100326"></a><9> Тестирование обновлений осуществляется в отношении программного обеспечения, в том числе с открытым исходным кодом, предназначенного для устранения уязвимостей программных, программно-аппаратных средств

<a id="p100327"></a>6.2. Тестирование обновлений программных и программно-аппаратных средств осуществляется в соответствии с [Методикой](https://bukva.ai/docs/metodicheskiy-dokument-metodika-testirovaniya) тестирования обновлений программных, программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г. <10>, по решению органа (организации) в случае отсутствия соответствующих результатов тестирования в БДУ ФСТЭК России.

<a id="p100328"></a>

---

<a id="p100329"></a><10> Адрес: https://bdu.fstec.ru/documents/30

<a id="p100330"></a>6.3. При наличии соответствующих сведений могут быть использованы компенсирующие меры защиты информации, представленные в бюллетенях безопасности разработчиков программных, программно-аппаратных средств, а также в описаниях уязвимостей, опубликованных в БДУ ФСТЭК России.

#### <a id="p100331"></a>6.4 Рекомендуемые сроки устранения уязвимостей <11>:


<a id="p100332"></a>

---

<a id="p100333"></a><11> Рекомендуемые сроки устранения уязвимостей установлены в соответствии с [Методикой](https://bukva.ai/docs/metodicheskiy-dokument-metodika-otsenki-urovnya) оценки уровня критичности уязвимостей программных, программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г.

<a id="p100334"></a>критический уровень опасности до 24 часов;
<a id="p100335"></a>высокий уровень опасности - до 7 дней;
<a id="p100336"></a>средний уровень опасности - до 4 недель;
<a id="p100337"></a>низкий уровень опасности - до 4 месяцев.
<a id="p100338"></a>6.5. Схема этапа устранения уязвимостей представлена на [рисунке 6.1](#p100341).
<a id="p100339"></a>6.6. Схема подпроцесса разработки и реализации компенсирующих мер защиты информации на этапе устранения уязвимостей представлена на [рисунке 6.2](#p100343).

<a id="p100340"></a> ![6. Устранение уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_5.jpg) 

<div align="center">

<a id="p100341"></a>Рисунок 6.1. - Схема этапа устранения уязвимостей

</div>


<a id="p100342"></a> ![6. Устранение уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_6.jpg) 

<div align="center">

<a id="p100343"></a>Рисунок 6.2. - Схема подпроцесса разработки<br>
и реализации компенсирующих мер защиты информации<br>
на этапе устранения уязвимостей

</div>


<a id="p100344"></a>В рамках выполнения подпроцесса разработки и реализации компенсирующих мер защиты информации выполняются операции, приведенные в таблице 6.2.

<div align="right">

<a id="p100345"></a>Таблица 6.2.

</div>



| <a id="p100346"></a>N п/п | <a id="p100347"></a>Наименование операции | <a id="p100348"></a>Описание операции |
| --- | --- | --- |
| <a id="p100349"></a>1. | <a id="p100350"></a>Определение мер защиты информации и ответственных за их реализацию | <a id="p100351"></a>Определение компенсирующих мер защиты информации, необходимых для нейтрализации уязвимости либо снижения возможных негативных последствий от ее эксплуатации.<br>В ходе выполнения данной операции должны быть определены работники, участие которых необходимо для реализации выбранных компенсирующих мер защиты информации |
| <a id="p100352"></a>2. | <a id="p100353"></a>Согласование привлечения работников | <a id="p100354"></a>В случае необходимости привлечения работников других подразделений для реализации компенсирующих мер защиты информации руководитель подразделения защиты согласует их привлечение с руководителями соответствующих подразделений |
| <a id="p100355"></a>3. | <a id="p100356"></a>Реализация организационных мер защиты информации | <a id="p100357"></a>Реализация организационных мер защиты информации предусматривает:<br>ограничение использования ИТ-инфраструктуры;<br>организация режима охраны (в частности, ограничение доступа к техническим средствам);<br>информирование и обучение персонала органа (организации) |
| <a id="p100358"></a>4. | <a id="p100359"></a>Настройка средств защиты информации | <a id="p100360"></a>Оценка возможности реализации компенсирующих мер с использованием средств защиты информации, выбор средств защиты информации (при необходимости). Выполнение работ по настройке средств защиты информации |
| <a id="p100361"></a>5. | <a id="p100362"></a>Организация анализа событий безопасности | <a id="p100363"></a>Организация постоянного наблюдения и анализа результатов регистрации событий безопасности и иных данных с целью выявления и блокирования попыток эксплуатации уязвимости |
| <a id="p100364"></a>6. | <a id="p100365"></a>Внесение изменений в ИТ-инфраструктуру | <a id="p100366"></a>Внесение изменений в ИТ-инфраструктуру включает действия по внесению изменений в конфигурации программных и программно-аппаратных средств (в том числе, удаление (выведение из эксплуатации)) |


<a id="p100367"></a>6.7. На основе [таблиц 6.1](#p100300) и [6.2](#p100345). в органе (организации) должно разрабатываться детальное описание операций, включающее наименование операций, описание операций, исполнителей, продолжительность, входные и выходные данные. Детальное описание операций включается в организационно-распорядительные документы по защите информации органа (организации).


### 7. <a id="p100368"></a>КОНТРОЛЬ УСТРАНЕНИЯ УЯЗВИМОСТЕЙ


<a id="p100369"></a>7.1. На этапе контроля устранения уязвимостей осуществляется сбор и обработка данных о процессе управления уязвимостями и его результатах, принятие оперативных решений и их доведение до руководства органа (организации) для принятия решений по улучшению процесса управления уязвимостями.
<a id="p100370"></a>На этапе контроля устранения уязвимостей выполняются операции, приведенные в таблице 7.1.

<a id="p100371"></a>Таблица 7.1.


| <a id="p100372"></a>N п/п | <a id="p100373"></a>Наименование операции | <a id="p100374"></a>Описание операции |
| --- | --- | --- |
| <a id="p100375"></a>1. | <a id="p100376"></a>Принятие решения о способе контроля | <a id="p100377"></a>Определение способа контроля устранения уязвимости: проверка объектов на наличие уязвимости (сканирование средствами анализа защищенности) либо оценка защищенности |
| <a id="p100378"></a>2. | <a id="p100379"></a>Проверка объектов на наличие уязвимостей | <a id="p100380"></a>Выбор объектов и времени сканирования, уведомление заинтересованных подразделений (например, ситуационного центра, подразделения ИТ) о проведении сканирования и дальнейшее сканирование выбранных объектов на наличие уязвимости |
| <a id="p100381"></a>3. | <a id="p100382"></a>Оценка защищенности | <a id="p100383"></a>Экспертная оценка возможности применения уязвимости к информационным системам.<br>В ходе оценки защищенности осуществляется проверка возможности эксплуатации уязвимости в информационных системах органа (организации) с использованием PoC или средства эксплуатации уязвимости, в том числе, в ходе тестирования на проникновение (тестирования системы защиты информации путем осуществления попыток несанкционированного доступа (воздействия) к информационным системам в обход ее системы защиты информации) |
| <a id="p100384"></a>4. | <a id="p100385"></a>Выявление отклонений и неисполнений | <a id="p100386"></a>Анализ результатов контроля устранения уязвимостей (определение корректности устранения уязвимостей и соблюдения сроков) |
| <a id="p100387"></a>5. | <a id="p100388"></a>Разработка предложений по улучшению процесса управления уязвимостями | <a id="p100389"></a>Определение причин отклонений и неисполнений, разработка на их основе решений по улучшению процесса управления уязвимостями |


<a id="p100390"></a>7.2. В случае выявления в ходе оценки защищенности неизвестных ранее уязвимостей (уязвимостей "нулевого дня") сведения о них рекомендуется направлять в БДУ ФСТЭК России <12>.

<a id="p100391"></a>

---

<a id="p100392"></a><12> Включение неизвестных ранее уязвимостей в БДУ ФСТЭК России осуществляется в соответствии с утвержденным регламентом, размещенным по адресу https://bdu.fstec.ru/site/regulations

<div align="center">

<a id="p100393"></a>7.3. Схема этапа контроля устранения уязвимостей представлена на [рисунке 7.1](#p100396).<br>
<a id="p100394"></a>7.4. Схема подпроцесса разработки предложений по улучшению процесса управления уязвимостями на этапе контроля устранения уязвимостей представлена на [рисунке 7.2](#p100398).

</div>


<a id="p100395"></a> ![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_7.jpg) 

<div align="center">

<a id="p100396"></a>Рисунок 7.1. - Схема этапа контроля устранения уязвимостей

</div>


<a id="p100397"></a> ![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_8.jpg) 

<div align="center">

<a id="p100398"></a>Рисунок 7.2. - Схема подпроцесса разработки предложений<br>
по улучшению процесса управления уязвимостями на этапе<br>
контроля устранения уязвимостей

</div>


<a id="p100399"></a>В рамках выполнения подпроцесса разработки предложений по улучшению процесса управления уязвимостями выполняются операции, приведенные в таблице 7.2.

<div align="right">

<a id="p100400"></a>Таблица 7.2.

</div>



| <a id="p100401"></a>N п/п | <a id="p100402"></a>Наименование операции | <a id="p100403"></a>Описание операции |
| --- | --- | --- |
| <a id="p100404"></a>1. | <a id="p100405"></a>Определение причин отклонений и (или) неисполнений | <a id="p100406"></a>Определение причин отклонений и неисполнений операций процесса управления уязвимостями. Возможными причинами являются:<br>пропуск уязвимости в ходе мониторинга;<br>ошибки оценки уязвимостей;<br>нарушения сроков устранения уязвимостей;<br>недостаточность принятых компенсирующих мер.<br>Причины отклонений и неисполнений операций процесса управления уязвимостями могут быть дополнены по результатам анализа процесса управления уязвимостями в органе (организации) |
| <a id="p100407"></a>2. | <a id="p100408"></a>Корректировка механизмов мониторинга | <a id="p100409"></a>Внесение изменений в конфигурацию и алгоритмы средств сбора и обработки данных об уязвимостях |
| <a id="p100410"></a>3. | <a id="p100411"></a>Добавление источника сведений об уязвимостях | <a id="p100412"></a>Поиск и организация мониторинга новых источников сведений об уязвимостях |
| <a id="p100413"></a>4. | <a id="p100414"></a>Корректировка механизмов оценки уязвимостей | <a id="p100415"></a>Внесение изменений в процедуру оценки уязвимостей |
| <a id="p100416"></a>5. | <a id="p100417"></a>Повторная оценка уязвимости | <a id="p100418"></a>Повторное определение уровня критичности уязвимости применительно к информационным системам органа (организации).<br>Переход к этапу 2 ("Оценка уязвимостей") с дальнейшим выполнением последующих этапов процесса управления уязвимостями |
| <a id="p100419"></a>6. | <a id="p100420"></a>Согласование сроков устранения уязвимости | <a id="p100421"></a>В случае нарушения сроков устранения уязвимостей новые сроки установки обновления согласуются с подразделением ИТ, сроки реализации компенсирующих мер защиты информации - с ответственными лицами, определенными на этапе 4. |
| <a id="p100422"></a>7. | <a id="p100423"></a>Создание заявки на срочную реализацию компенсирующих мер защиты информации | <a id="p100424"></a>Заявка на реализацию компенсирующих мер формируется при отсутствии возможности установки обновления либо в случае недостаточности уже принятых компенсирующих мер защиты информации |


<a id="p100425"></a>7.5. На основе [таблиц 7.1](#p100371) и [7.2](#p100400). в органе (организации) должно разрабатываться детальное описание операций, включающее наименование операций, описание операций, исполнителей, продолжительность, входные и выходные данные. Детальное описание операций включается в организационно-распорядительные документы по защите информации органа (организации).





<div align="right">

<a id="p100426"></a>Приложение<br>
к Руководству по организации<br>
процесса управления уязвимостями<br>
в органе (организации)

</div>


<div align="center">

<a id="p100427"></a>**ОБОЗНАЧЕНИЯ,**<br>
**ПРИМЕНЯЕМЫЕ ДЛЯ ЦЕЛЕЙ НАСТОЯЩЕГО МЕТОДИЧЕСКОГО ДОКУМЕНТА**

</div>


<a id="p100428"></a>На схемах в настоящем руководстве используются следующие элементы из системы условных обозначений для моделирования бизнес-процессов BPMN 2.0 (англ. Business Process Management Notation, нотация моделирования бизнес-процессов):


| <a id="p100429"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_9.png) | <a id="p100430"></a>- начальное событие, показывает с чего начинается процесс; |
| --- | --- |
| <a id="p100431"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_10.png) | <a id="p100432"></a>- начальное событие, связанное с получением сообщений (данных); |
| <a id="p100433"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_11.png) | <a id="p100434"></a>- промежуточное событие, связанное с истечением определенного временного интервала; |
| <a id="p100435"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_12.png) | <a id="p100436"></a>- окончание процесса или подпроцесса; |
| <a id="p100437"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_13.png) | <a id="p100438"></a>- окончание процесса или подпроцесса, связанное с отправкой сообщений (данных); |
| <a id="p100439"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_14.png) | <a id="p100440"></a>- завершение всех процессов и подпроцессов; |
| <a id="p100441"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_15.png) | <a id="p100442"></a>- развилка "или/или" - выбор только одного пути; |
| <a id="p100443"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_16.png) | <a id="p100444"></a>- развилка "и" - выбор всех путей; |
| <a id="p100445"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_17.png) | <a id="p100446"></a>- развилка "и/или" - выбор одного или нескольких путей; |
| <a id="p100447"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_18.png) | <a id="p100448"></a>- элементарное действие в рамках процесса; |
| <a id="p100449"></a>![7. Контроль устранения уязвимостей](https://i.bukva.ai/TFBfe5JcV/img_19.png) | <a id="p100450"></a>- действие, которое может включать в себя другие действия, развилки и события. |




<a id="p100451"></a>

---