---
title: "Приказ Минэкономразвития России от 24.11.2023 N 821"
number: "821"
issuer: "Министерство экономического развития Российской Федерации"
issued_on: 2023-11-24
status: действует
canonical: "https://bukva.ai/docs/prikaz-821-2023-minekonomrazvitiya-rossii"
---

## Приказ Минэкономразвития России от 24.11.2023 N 821

# Приказ Минэкономразвития России от 24.11.2023 N 821

"Об утверждении Регламента выявления, анализа и устранения уязвимостей в информационных системах Министерства экономического развития Российской Федерации"


<div align="center">

<a id="p100001"></a>**МИНИСТЕРСТВО ЭКОНОМИЧЕСКОГО РАЗВИТИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ**

</div>



## <a id="p100002"></a>ПРИКАЗ

<div align="center">

**от 24 ноября 2023 г. N 821**

<a id="p100003"></a>**ОБ УТВЕРЖДЕНИИ РЕГЛАМЕНТА ВЫЯВЛЕНИЯ, АНАЛИЗА И УСТРАНЕНИЯ**<br>
**УЯЗВИМОСТЕЙ В ИНФОРМАЦИОННЫХ СИСТЕМАХ МИНИСТЕРСТВА**<br>
**ЭКОНОМИЧЕСКОГО РАЗВИТИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ**

</div>


<a id="p100004"></a>В соответствии с требованиями нормативных правовых актов в области защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, с учетом Руководства по организации процесса управления уязвимости в органе (организации), утвержденного ФСТЭК России 17 мая 2023 г., а также в рамках реализации мер и проведения мероприятий по обеспечению безопасности информации при ее обработке в информационных системах Министерства экономического развития Российской Федерации приказываю:
1. <a id="p100005"></a>Утвердить [Регламент](#p100010) выявления, анализа и устранения уязвимостей в информационных системах Министерства экономического развития Российской Федерации (далее - Регламент) согласно приложению к настоящему приказу.
2. <a id="p100006"></a>Руководителям структурных подразделений Министерства экономического развития Российской Федерации, осуществляющих координацию и контроль в сфере создания, эксплуатации и развития информационных систем, обеспечить выполнение требований [Регламента](#p100010) работниками Министерства экономического развития Российской Федерации, участвующими в процессе управления уязвимостями в информационных системах, а также работниками организаций, выполняющими работы или предоставляющими услуги на всем жизненном цикле информационных систем Министерства экономического развития Российской Федерации.
3. <a id="p100007"></a>Контроль за исполнением настоящего приказа возложить на заместителя Министра экономического развития Колесникова М.А.

<div align="right">

<a id="p100008"></a>Министр<br>
М.Г.РЕШЕТНИКОВ

</div>






<div align="right">

<a id="p100009"></a>Утвержден<br>
приказом<br>
Минэкономразвития России<br>
от 24 ноября 2023 г. N 821

</div>



## <a id="p100010"></a>РЕГЛАМЕНТ ВЫЯВЛЕНИЯ, АНАЛИЗА И УСТРАНЕНИЯ УЯЗВИМОСТЕЙ В ИНФОРМАЦИОННЫХ СИСТЕМАХ МИНИСТЕРСТВА ЭКОНОМИЧЕСКОГО РАЗВИТИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ МОСКВА - 2023



### 1. <a id="p100011"></a>Общие положения



##### <a id="p100012"></a>1.1.1 Назначение Регламента

<a id="p100013"></a>1.1.2. Настоящий Регламент определяет состав и содержание работ по выявлению, анализу и устранению уязвимостей (далее управление уязвимостями) в информационных системах Минэкономразвития России (далее - ИС).

##### <a id="p100014"></a>1.1.3 Настоящий Регламент принят в целях устранения уязвимостей в ИС.


#### <a id="p100015"></a>1.2 Область применения Регламента

<a id="p100016"></a>1.2.1. Настоящий Регламент обязаны знать и использовать работники Минэкономразвития России, участвующие в процессе управление уязвимостями в ИС, а также работники подрядных организаций, выполняющие работы или предоставляющие услуги на всем жизненном цикле ИС.
<a id="p100017"></a>1.2.2. Настоящий Регламент разработан в соответствии с требованиями следующих законодательных актов и нормативно-методических документов:
<a id="p100018"></a>приказа ФСТЭК России от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах";
<a id="p100019"></a>приказа ФСТЭК России от 18 февраля 2013 г. N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";
<a id="p100020"></a>методического документа "Методика тестирования обновлений безопасности программных, программно-аппаратных средств", утвержденного ФСТЭК России 28 октября 2022 г.;
<a id="p100021"></a>методического документа "Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств", утвержденного ФСТЭК России 28 октября 2022 г.;
<a id="p100022"></a>методического документа "Руководство по организации процесса управления уязвимостями в органе (организации)", утвержденного ФСТЭК России 17 мая 2023 года.

#### <a id="p100023"></a>1.3 Ответственность

<a id="p100024"></a>1.3.1. Ответственным лицом за процесс управления уязвимостями является ответственный за защиту информации в информационной системе Министерства экономического развития Российской Федерации (далее - Ответственный ЗИ).
<a id="p100025"></a>1.3.2. Ответственным лицом за выявления, анализ и устранения уязвимостей является администратор информационной безопасности информационной системы Министерства экономического развития Российской Федерации (далее - Администратор ИБ).
<a id="p100026"></a>1.3.3. Работники Минэкономразвития России и подрядных организаций, определяемых в соответствии с законодательством в сфере закупок, участвующие в процессе управления уязвимостями, несут персональную ответственность за соблюдение требований настоящего Регламента.

#### <a id="p100027"></a>1.4 Изменение Регламента


##### <a id="p100028"></a>1.4.1 Изменения вносятся в Регламент в следующих случаях:

<a id="p100029"></a>изменения законодательства Российской Федерации в области защиты информации и требований нормативных правовых актов и методических документов в области защиты информации ограниченного доступа;
<a id="p100030"></a>по результатам проведения мероприятий по контролю выполнения требований к обеспечению безопасности информации в Минэкономразвития России;
<a id="p100031"></a>выявления новых источников угроз, развития способов и средств реализации угроз безопасности информации;
<a id="p100032"></a>изменения применяемых в Минэкономразвития России информационных технологий как совокупности приемов, способов и методов применения средств вычислительной техники при обработке информации.


### 2. <a id="p100033"></a>Полномочия и обязанности работников в процессе выявления, анализа и устранения уязвимостей в ИС


<a id="p100034"></a>2.1. В Минэкономразвития России определены следующие полномочия работников Минэкономразвития России, задействованных в процессе управления уязвимостями:
<a id="p100035"></a>Ответственный ЗИ - руководитель департамента, курирующего ИС или назначенный им работник департамента, уполномоченный руководить процессом обеспечения безопасности информации в ИС Минэкономразвития России, находящейся в его зоне ответственности, контроль над соблюдением требований по обеспечению безопасности конфиденциальной информации, в том числе процессом по устранению уязвимостей;
<a id="p100036"></a>Администратор ИБ - работник департамента, курирующего ИС, и/или работник подрядной организации, действующий в рамках государственного контракта, уполномоченный проводить работы по технической защите информации и поддержанию достигнутого уровня защиты информации в Минэкономразвития России, в том числе работы по устранению уязвимостей и установке обновлений безопасности.

#### <a id="p100037"></a>2.2 Ответственный ЗИ обязан:

<a id="p100038"></a>определять приоритетность устранения уязвимостей;
<a id="p100039"></a>определять методы устранения уязвимостей;
<a id="p100040"></a>принимать решения об установке обновлений;
<a id="p100041"></a>принимать решения о реализации компенсирующих мер защиты информации;
<a id="p100042"></a>информировать заместителя Министра, курирующего ИС, о случаях невозможности устранить уязвимости своими силами в курируемой ИС.

#### <a id="p100043"></a>2.3 Администратор ИБ обязан:

<a id="p100044"></a>анализировать информацию об уязвимостях;
<a id="p100045"></a>проводить оценку применимости уязвимостей;
<a id="p100046"></a>проводить сканирование объектов;
<a id="p100047"></a>проводить оценку защищенности;
<a id="p100048"></a>проводить определение уровня опасности уязвимости;
<a id="p100049"></a>определять влияние уязвимости на ИС;
<a id="p100050"></a>проводить расчет критичности уязвимости;
<a id="p100051"></a>проводить тестирование и установку обновлений;
<a id="p100052"></a>формировать план установки обновлений;
<a id="p100053"></a>разрабатывать и реализовывать компенсирующие меры защиты информации;
<a id="p100054"></a>проводить настройку средств защиты информации;
<a id="p100055"></a>информировать Ответственного ЗИ об объектах, подверженных уязвимостям.
<a id="p100056"></a>Обеспечение методической поддержки и выработки единой технической политики Министерства в процессе управления уязвимостями, а также контроль за ее соблюдением возлагается на Департамент, осуществляющий полномочия по обеспечению функционирования информационной инфраструктуры (далее - ИТ-инфраструктура) и информационной безопасности информационных систем центрального аппарата Министерства, применению средств и методов информационной безопасности центрального аппарата Министерства.


### 3. <a id="p100057"></a>Процесс управления уязвимостями



#### <a id="p100058"></a>3.1 Процесс управления уязвимостями включает следующие этапы:

<a id="p100059"></a>мониторинг уязвимостей и оценка их применимости;
<a id="p100060"></a>оценка уязвимостей;
<a id="p100061"></a>определение методов и приоритетов устранения уязвимостей;
<a id="p100062"></a>устранение уязвимостей;
<a id="p100063"></a>контроль устранения уязвимостей.

##### <a id="p100064"></a>3.1.1 Мониторинг уязвимостей и оценка их применимости

<a id="p100065"></a>На этапе мониторинга уязвимостей и оценки их применимости осуществляется выявление уязвимостей на основании данных, получаемых из внешних и внутренних источников, и принятие решений по их последующей обработке.

##### <a id="p100066"></a>3.1.2 Оценка уязвимостей

<a id="p100067"></a>На этапе оценки уязвимостей определяется уровень критичности уязвимостей применительно к ИС.

##### <a id="p100068"></a>3.1.3 Определение методов и приоритетов устранения уязвимостей

<a id="p100069"></a>На этапе определения методов и приоритетов устранения уязвимостей определяется приоритетность устранения уязвимостей и выбираются методы их устранения: обновление программного обеспечения и (или) применение компенсирующих мер защиты информации.

##### <a id="p100070"></a>3.1.4 Устранение уязвимостей

<a id="p100071"></a>На этапе устранения уязвимостей принимаются меры, направленные на устранение или исключение возможности использования (эксплуатации) выявленных уязвимостей.

##### <a id="p100072"></a>3.1.5 Контроль устранения уязвимостей

<a id="p100073"></a>На этапе контроля устранения уязвимостей осуществляются сбор и обработка данных о процессе управления уязвимостями и его результатах, а также принятие решений по совершенствованию данного процесса.


### 4. <a id="p100074"></a>Мониторинг уязвимостей и оценка их применимости


<a id="p100075"></a>4.1. На этапе мониторинга уязвимостей и оценки их применимости Администратором ИБ осуществляется выявление уязвимостей на основании данных из следующих источников:
<a id="p100076"></a>внутренние источники:
<a id="p100077"></a>системы управления ИТ-инфраструктурой;
<a id="p100078"></a>базы данных управления конфигурациями <1>;

<a id="p100079"></a>

---

<a id="p100080"></a><1> Системы класса CMDB (англ. Configuration Management Database).

<a id="p100081"></a>документация на ИС;
<a id="p100082"></a>электронные базы знаний;
<a id="p100083"></a>база данных уязвимостей, содержащаяся в Банке данных угроз безопасности информации (далее - БДУ) ФСТЭК России <2>;

<a id="p100084"></a>

---

<a id="p100085"></a><2> Адрес сайта БДУ ФСТЭК России: https://bdu.fstec.ru

<a id="p100086"></a>внешние источники:
<a id="p100087"></a>базы данных, содержащие сведения об известных уязвимостях;
<a id="p100088"></a>официальные информационные ресурсы разработчиков программных и программно-аппаратных средств и исследователей в области информационной безопасности.
<a id="p100089"></a>Источники данных могут уточняться или дополняться с учетом особенностей функционирования ИС.

#### <a id="p100090"></a>4.2 Выявление уязвимостей в операционных системах серверов и системах управления базами данных выполняется:

<a id="p100091"></a>по плану, не реже одного раза в месяц;
<a id="p100092"></a>при проведении приемочных испытаний, при вводе в эксплуатацию новой ИС;
<a id="p100093"></a>в ходе аттестационных мероприятий ИС;
<a id="p100094"></a>перед вводом в эксплуатацию нового комплекса технических средств (в том числе при переходе на новый комплекс технических средств);
<a id="p100095"></a>после изменения состава системного программного обеспечения, обновления системного программного обеспечения;
<a id="p100096"></a>активизации новых, ранее не используемых сервисов (служб) на промышленных серверах ИС;
<a id="p100097"></a>в целях проведения контроля за состоянием информационной безопасности, а также за устранением выявленных ранее уязвимостей.
<a id="p100098"></a>4.3. Внеплановая процедура проведения выявления уязвимостей может быть инициирована Ответственным ЗИ.
<a id="p100099"></a>4.4. Выявление уязвимостей является обязательным для всех новых версий и обновлений любого программного обеспечения или при изменении состава используемых системных сервисов и сетевых протоколов.
<a id="p100100"></a>4.5. Выявление уязвимостей является обязательным для всех серверов, включая используемые, на которых установлены актуальные версии или проведено обновление системного программного обеспечения.
<a id="p100101"></a>4.6. В ходе выявления уязвимостей сервера определяется факт наличия уязвимостей в системном программном обеспечении, ошибочные настройки механизмов безопасности в операционной системе сервера, а также проводится инвентаризация сервисов, установленных на сервере, с целью минимизации уязвимостей при дальнейшей эксплуатации.
<a id="p100102"></a>4.7. Выявление уязвимостей должно проводиться ежемесячно для всех промышленных серверов и функционирующих на них систем управления базами данных. Ежемесячный контроль может не проводиться в случае, если в текущем месяце инструментальный контроль сервера уже был проведен после обновления системного программного обеспечения.
<a id="p100103"></a>4.8. Инструментальный контроль защищенности автоматизированных рабочих мест работников, подключенных к ИС, проводится не реже чем раз в месяц, без уведомления ИТ-специалистов, осуществляющих их техническое сопровождение.

#### <a id="p100104"></a>4.9 На этапе мониторинга уязвимостей и оценки их применимости Администратором ИБ выполняются следующие операции:

<a id="p100105"></a>анализ информации об уязвимости;
<a id="p100106"></a>оценка применимости уязвимости;
<a id="p100107"></a>принятие решений на получение дополнительной информации;
<a id="p100108"></a>постановка задачи на сканирование объектов;
<a id="p100109"></a>сканирование объектов;
<a id="p100110"></a>оценка защищенности.


### 5. <a id="p100111"></a>Оценка уязвимостей


<a id="p100112"></a>5.1. Оценка уязвимостей производится с целью определения уровня критичности уязвимостей применительно к ИС.

#### <a id="p100113"></a>5.2 На этапе оценки уязвимостей Администратором ИБ выполняются следующие операции:

<a id="p100114"></a>получение информации об объектах, подверженных уязвимости;
<a id="p100115"></a>определение уровня опасности уязвимости;
<a id="p100116"></a>определение влияния уязвимости на ИС;
<a id="p100117"></a>расчет критичности уязвимости.
<a id="p100118"></a>5.3. Операции по определению уровня опасности уязвимости, ее влияния на ИС и расчету критичности уязвимости выполняются в соответствии с Методикой оценки уровня критичности уязвимостей программных и программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 года.


### 6. <a id="p100119"></a>Определение методов и приоритетов устранения уязвимостей



#### <a id="p100120"></a>6.1 На этапе определения методов и приоритетов устранения уязвимостей решаются задачи:

<a id="p100121"></a>определения приоритетности устранения уязвимостей;
<a id="p100122"></a>выбора методов устранения уязвимостей: обновление программного обеспечения и (или) применение компенсирующих мер защиты информации.

#### <a id="p100123"></a>6.2 На этапе определения методов и приоритетов устранения уязвимостей Ответственным ЗИ выполняются следующие операции:

<a id="p100124"></a>определение приоритетности устранения уязвимостей;
<a id="p100125"></a>определение методов устранения уязвимостей;
<a id="p100126"></a>принятие решения о срочной установке обновлений;
<a id="p100127"></a>создание заявки или указаний на установку обновления;
<a id="p100128"></a>принятие решения о реализации компенсирующих мер защиты информации;
<a id="p100129"></a>создание заявки или указаний на реализацию компенсирующих мер защиты информации.


### 7. <a id="p100130"></a>Устранение уязвимостей


<a id="p100131"></a>7.1. На этапе устранения уязвимостей принимаются меры, направленные на устранение или исключение возможности использования (эксплуатации) уязвимостей, выявленные на этапе мониторинга.

#### <a id="p100132"></a>7.2 На этапе устранения уязвимостей Ответственным ЗИ выполняются следующие операции:

<a id="p100133"></a>согласование установки с руководством подразделения информационных технологий;
<a id="p100134"></a>принятие решения об установке обновления.

#### <a id="p100135"></a>7.3 На этапе устранения уязвимостей Администратором ИБ выполняются следующие операции:

<a id="p100136"></a>тестирование обновления;
<a id="p100137"></a>установка обновления в тестовом сегменте;
<a id="p100138"></a>установка обновления;
<a id="p100139"></a>формирование плана установки обновлений;
<a id="p100140"></a>разработка и реализация компенсирующих мер защиты информации.
<a id="p100141"></a>7.4. Тестирование обновлений программных и программно-аппаратных средств осуществляется в соответствии с Методикой тестирования обновлений программных, программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., по решению Минэкономразвития России в случае отсутствия соответствующих результатов тестирования в БДУ ФСТЭК России.

#### <a id="p100142"></a>7.5 Рекомендуемые сроки устранения уязвимостей:

<a id="p100143"></a>критический уровень опасности - до 24 часов;
<a id="p100144"></a>высокий уровень опасности - до 7 дней;
<a id="p100145"></a>средний уровень опасности - до 4 недель;
<a id="p100146"></a>низкий уровень опасности - до 4 месяцев.
<a id="p100147"></a>7.6. В рамках разработки и реализации компенсирующих мер защиты информации Ответственным ЗИ выполняются следующие операции:
<a id="p100148"></a>согласование привлечения работников Минэкономразвития России и подрядных организаций;
<a id="p100149"></a>реализация организационных мер защиты информации;
<a id="p100150"></a>организация анализа событий безопасности.
<a id="p100151"></a>7.7. В рамках разработки и реализации компенсирующих мер защиты информации Администратором ИБ выполняются следующие операции:
<a id="p100152"></a>определение и реализация мер защиты информации;
<a id="p100153"></a>настройка средств защиты информации;
<a id="p100154"></a>внесение изменений в ИТ-инфраструктуру.
<a id="p100155"></a>7.8. Компенсирующими организационными и техническими мерами, направленными на предотвращение возможности эксплуатации уязвимостей, могут являться:
<a id="p100156"></a>изменение конфигурации уязвимых компонентов ИС, в том числе в части предоставления доступа к их функциям, исполнение которых может способствовать эксплуатации выявленных уязвимостей;
<a id="p100157"></a>ограничение по использованию уязвимых программных, программно-аппаратных средств или их перевод в режим функционирования, ограничивающий исполнение функций, обращение к которым связано с использованием выявленных уязвимостей (например, отключение уязвимых служб и сетевых протоколов);
<a id="p100158"></a>резервирование компонентов ИС, включая резервирование серверов, телекоммуникационного оборудования и каналов связи;
<a id="p100159"></a>использование сигнатур, решающих правил средств защиты информации, обеспечивающих выявление в ИС признаков эксплуатации уязвимостей;
<a id="p100160"></a>мониторинг информационной безопасности и выявление событий безопасности информации в ИС, связанных с возможностью эксплуатации уязвимостей.


### 8. <a id="p100161"></a>Контроль устранения уязвимостей


<a id="p100162"></a>8.1. На этапе контроля устранения уязвимостей осуществляются сбор и обработка данных о процессе управления уязвимостями и его результатах, принятие оперативных решений и их доведение до руководства Минэкономразвития России для принятия решений по улучшению процесса управления уязвимостями.

#### <a id="p100163"></a>8.2 На этапе контроля устранения уязвимостей Ответственным ЗИ выполняются следующие операции:

<a id="p100164"></a>принятие решения о способе контроля;
<a id="p100165"></a>выявление отклонений и неисполнений;
<a id="p100166"></a>разработка предложений по улучшению процесса управления уязвимостями.

#### <a id="p100167"></a>8.3 На этапе контроля устранения уязвимостей Администратором ИБ выполняются следующие операции:

<a id="p100168"></a>проверка объектов на наличие уязвимостей;
<a id="p100169"></a>оценка защищенности.
<a id="p100170"></a>8.4. В рамках разработки предложений по улучшению процесса управления уязвимостями Ответственным ЗИ совместно с Администратором ИБ выполняются следующие операции:
<a id="p100171"></a>определение причин отклонений и (или) неисполнений;
<a id="p100172"></a>корректировка механизмов мониторинга;
<a id="p100173"></a>добавление источника сведений об уязвимостях;
<a id="p100174"></a>корректировка механизмов оценки уязвимостей;
<a id="p100175"></a>повторная оценка уязвимости;
<a id="p100176"></a>согласование сроков устранения уязвимости;
<a id="p100177"></a>создание заявки на реализацию компенсирующих мер защиты информации.



<a id="p100178"></a>

---