Из ГОСТ Р 56546–2015 Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем

Настоящий стандарт устанавливает классификацию уязвимостей информационных систем (ИС). Настоящий стандарт направлен на совершенствование методического обеспечения определения и описания угроз безопасности информации при проведении работ по защите информации в ИС.

Настоящий стандарт не распространяется на уязвимости ИС, связанные с утечкой информации по техническим каналам, в том числе уязвимости электронных компонентов технических (аппаратных и аппаратно–программных) средств ИС [из 1 Область применения ГОСТ Р 56546—2015]

В настоящем стандарте использована нормативная ссылка на следующий стандарт:

• ГОСТ Р 50922 Защита информации. Основные термины и определения

[из 2 Нормативные ссылки ГОСТ Р 56546—2015]

В настоящем стандарте применены термины по ГОСТ Р 50922, а также следующие термины с соответствующими определениями:

4.1 В основе классификации уязвимостей ИС используются следующие классификационные признаки:

• область происхождения уязвимости;
• типы недостатков ИС;
• место возникновения (проявления) уязвимости ИС.

Примечание — В качестве уязвимых компонентов ИС рассматриваются общесистемное (общее), прикладное, специальное программное обеспечение (ПО), технические средства, сетевое (коммуникационное, телекоммуникационное) оборудование, средства защиты информации.

[из 4.1 ГОСТ Р 56546—2015]

4.2 Помимо классификационных признаков уязвимостей ИС используются поисковые признаки (основные и дополнительные). Поисковые признаки предназначены для организации расширенного поиска в базах данных уязвимостей [из 4.2 ГОСТ Р 56546—2015]

4.3 К основным поисковым признакам уязвимостей ИС относятся следующие:

• наименование операционной системы (ОС) и тип аппаратной платформы;
• наименование ПО и его версия;
• степень опасности уязвимости.

[из 4.3 ГОСТ Р 56546—2015]

4.4 К дополнительным поисковым признакам уязвимостей ИС относятся следующие:

• язык программирования;
• служба (порт), которая(ый) используется для функционирования ПО.

[из 4.4 ГОСТ Р 56546—2015]

5.1 Уязвимости ИС по области происхождения подразделяются на следующие классы:

• уязвимости кода;
• уязвимости конфигурации;
• уязвимости архитектуры;
• организационные уязвимости;
• многофакторные уязвимости.

Примечание — В целях выявления и оценки уязвимостей информационных систем могут выделяться подклассы уязвимостей.

[из 5.1 ГОСТ Р 56546—2015]