ГОСТ Р 56545-2015
Н А Ц И О Н А Л Ь Н Ы ЙС Т А Н Д А Р ТР О С С И Й С К О ЙФ Е Д Е Р А Ц И И
Защита информации
УЯЗВИМОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ
Правила описания уязвимостей
Information protection. Vulnerabilities in information systems. Rules of vulnerabilities description
Дата введения — 2016—04—01
1 Область применения
Настоящий стандарт устанавливает общие требования к структуре описания уязвимости и пра
вилам описания уязвимости информационной системы (ИС). В настоящем стандарте принята структу ра
описания уязвимости, использование которой позволит обеспечить достаточность информации для
идентификации уязвимости ИС и выполнения работ по анализу уязвимостей ИС.
Настоящий стандарт не распространяется на уязвимости ИС, связанные с утечкой информации
по техническим каналам, в том числе уязвимостями электронных компонентов технических (аппарат
ных и аппаратно-программных) средств информационных систем.
2 Нормативные ссылки
В настоящем стандарте использована нормативная ссылка на следующий стандарт.
ГОСТ Р 56546-2015 Защита информации. Уязвимости информационных систем. Классификация
уязвимостей информационных систем
П р и м е ч а н и е - При пользовании настоящим стандартом целесообразно проверить действие ссылочных
стандартов в информационной системе общего пользования - на официальном сайте национального органа Рос
сийской Федерации по стандартизации в сети Интернет или по ежегодному информационному указателю «Нацио
нальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного
информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт, на
который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с
учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана дати
рованная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения
(принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная
ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется
применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором
дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.
3 Термины и определения
В настоящем стандарте применены следующие термины с соответствующими определениями:
3.1 информационная система: Совокупность содержащейся в базах данных информации и обе
спечивающих ее обработку информационных технологий и технических средств.
П р и м е ч а н и е - Определение термина соответствует [1J.
3.2 угроза безопасности информации: Совокупность условий и факторов, создающих потенци
альную или реально существующую опасность нарушения безопасности информации.
3.3 уязвимость: Недостаток (слабость) программного (программно-технического) средства или
информационной системы в целом, который (которая) может быть использована для реализации угроз
безопасности информации.
3.4 правила описания уязвимости: Совокупность положений, регламентирующих структуру и
содержание описания уязвимости.
Издание официальное
1