Министерство по развитию информационных технологий и коммуникаций республики узбекистан каршинский филиал ташкентского университета

2.5 Идентификация уязвимостей 
Вход: списки известных угроз, списки активов и доступных элементов 
управления. 
Работа: Уязвимости, на которые воздействуют угрозы и которые могут 
нанести ущерб имуществу или организации, должны быть идентифицированы 
(O‘zDStISO/IEC 27001, 4.2.1, 3) перечисление. 
Руководство по внедрению: Слабые стороны можно выявить в 
следующих областях: 
- в организации работы; 
- в процессах и процедурах; 
- в установленном порядке управления; 
- сотрудники; 
- окружающая среда; 
- в конфигурации информационной системы; 
- в аппаратном, программном обеспечении и телекоммуникациях; 
- зависимость от внешних сторон. 
Наличие уязвимости само по себе не вредно, так как необходимо наличие 
угроз, которые могут быть реализованы через уязвимость.Конкретная угроза 
может не требовать реализации инструмента управления уязвимостями, 
который на нее не влияет, но может быть идентифицирован и вносимые 
изменения следует контролировать. Следует отметить, что плохо 

---

52 
реализованный, используемый или неисправный элемент управления сам по 
себе является уязвимостью. Инструмент управления может быть 
эффективным или неэффективным в зависимости от среды, в которой он 
работает. И наоборот, угроза без уязвимости может не представлять 
опасности. Уязвимости могут быть связаны со свойствами актива, которые 
могут использоваться для целей и методов, отличных от тех, которые 
предназначены для создания или приобретения актива.Следует учитывать 
уязвимости, возникающие из различных источников, таких как внешние или 
внутренние уязвимости актива. Примеры уязвимостей и методы оценки 
уязвимостей приведены в Приложении D. Выходные данные: список 
уязвимостей, связанных с активами, угрозами и элементами управления; 
список уязвимостей, не связанных с конкретной угрозой, которую необходимо 
устранить.