ГОСТ Р ИСО/МЭК 15408-3-2013
5.2.1Значимость уязвимостей
Предполагается, что имеются нарушители, которые будут стремиться активно
использовать возможности нарушения политики безопасности как для получения
незаконной выгоды, так и для выполнения незлонамеренных, но, тем не менее,
опасных действий. Нарушители могут также случайно активизировать уязвимости
безопасности,наносявред организации.При необходимости обрабатывать
чувствительную информацию и отсутствии в достаточной степени доверенных
продуктов имеется значительный риск из-за отказов ИТ. Поэтому нарушения
безопасности ИТ могут вызвать значительные потери.
НарушениябезопасностиИТвозникаютвследствиепреднамеренного
использования или непреднамеренной активации уязвимостей при применении ИТ
по назначению.
Следуетпредпринятьрядшаговдляпредотвращенияуязвимостей,
возникающих в продуктах ИТ. По возможности уязвимости следует:
a) устранить, т.е. следует предпринять активные действия для выявления, а
затем удаления или нейтрализации всех уязвимостей, которые могут проявиться;
b
) минимизировать, т.е. следует предпринять активные действия для
уменьшения до допустимого остаточного уровня возможного ущерба от любого
проявления уязвимостей;
c) отслеживать, т.е. следует предпринять активные действия для обнаружения
любой попытки использовать остаточные уязвимости с тем, чтобы ограничить
ущерб.
5.2.2Причины уязвимостей
Уязвимости могут возникать из-за недостатков:
a) требований, т.е. продукт ИТ может обладать требуемыми от него функциями
и свойствами, но все же содержать уязвимости, которые делают его непригодным
или неэффективным в части безопасности;
b
) проектирования, т.е. продукт ИТ не отвечает спецификации, и/или
уязвимости являются следствием некачественных стандартов проектирования или
неправильных проектных решений;
4