Интернетмагазин

 
301
политиках и процедурах, которые использует организация. Данные относи-
тельно их соответствия также должны быть собраны. После этого должны быть 
проанализированы существующие политики и процедуры, чтобы определить, 
были ли они адекватными при обеспечении безопасности организации. Затем 
следует провести анализ уязвимостей и угроз. Угрозы и уязвимости, с которы-
ми сталкивается организация, следует классифицировать в соответствии с их 
серьезностью. Наконец, организация должна определить приемлемые риски, 
с которыми она может столкнуться, не испытывая глубоких последствий.
Оценка рисков должна сопровождаться оценкой уязвимостей. Этап оцен-
ки уязвимостей, который не следует путать с анализом уязвимости на этапе 
управления рисками, направлен на выявление уязвимых ресурсов. Поэтому 
все хосты в сети должны быть проверены с помощью согласованного взлома 
или протестированы на предмет проникновения, чтобы определить, являются 
ли они уязвимыми. Этот процесс должен быть тщательным и точным. Любые 
уязвимые ресурсы, не определенные на этом этапе, могут быть слабым звеном, 
которое хакеры будут использовать. Таким образом, инструменты, которые 
предполагаемые хакеры будут применять для совершения атаки, должны быть 
использованы в полной мере своих возможностей.
За этапом оценки уязвимости должно следовать создание отчетов и отсле-
живание исправлений. Необходимо сообщать заинтересованным сторонам 
организации о всех выявленных рисках и уязвимостях. Отчеты должны быть 
всеобъемлющими и касающимися всех аппаратных и программных ресурсов, 
принадлежащих организации. Также они должны быть доработаны, чтобы 
удовлетворить потребности различных групп лиц. Есть лица, которые могут не 
разбираться в технической стороне уязвимостей, поэтому будет справедливо 
предоставить им упрощенную версию отчетов. После отчетов должно идти от-
слеживание исправлений. После выявления рисков и уязвимостей, с которыми 
сталкивается организация, следует указать подходящих лиц, которые займутся 
их устранением. На них должна быть возложена ответственность за обеспече-
ние полного устранения всех рисков и уязвимостей. Должен существовать про-
думанный способ отслеживания прогресса в устранении выявленных угроз. 
Инструменты, которые мы рассмотрели ранее, обладают этими функциями 
и могут гарантировать успешную реализацию данного шага.
Окончательной реализацией должно быть планирование реагирования. 
Именно здесь организация описывает действия по устранению уязвимостей 
и приступает к их принятию. Этот шаг подтвердит правильность предыдущих 
пяти шагов. При планировании реагирования организация должна предло-
жить средства исправления или обновления систем, которые были определены 
как имеющие определенные риски или уязвимости. Следует придерживаться 
иерархии серьезности угроз, определенной на этапах оценки риска и уязвимо-
сти. Этот шаг должен быть реализован с помощью инвентаризации ресурсов, 
чтобы организация могла подтвердить, что были задействованы все ее ресур-
сы, как аппаратные, так и программные. Данный шаг не должен занимать мно-

---

302  Управление уязвимостями
го времени, поскольку хакеры могут перейти к нападению, используя только 
что обнаруженные уязвимости. Этап планирования реагирования должен быть 
завершен с учетом того, когда системы мониторинга отправляют оповещения 
тем, кто реагирует на инциденты.