Обзор Методики анализа защищенности информационных систем

В соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085, ФСТЭК России 25 ноября 2025 г. утверждена Методика анализа защищенности информационных систем (далее — Методика).

В статье кратко рассмотрены основные положения Методики.

Сфера применения

Методика применяется при аттестации информационных систем (ИС), контроле уровня защищенности и оценке соответствия ИС требованиям по защите информации.

Объекты проведения анализа уязвимостей

• государственные ИС, иные ИС государственных органов, государственных унитарных предприятий, государственных учреждений (приказ ФСТЭК России от 11 апреля 2025 г. № 117);
• ИС управления производством, используемые предприятиями оборонно-промышленного комплекса (приказ ФСТЭК России от 28 февраля 2017 г. № 31);
• значимые объекты критической информационной инфраструктуры Российской Федерации (приказы ФСТЭК России: от 21 декабря 2017 г. № 235, от 25 декабря 2017 г. № 239);
• автоматизированные системы управления производственными процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды (приказ ФСТЭК России от 14 марта 2013 г. № 31);
• информационные системы персональных данных (приказ ФСТЭК России от 18 февраля 2013 г. № 21).

Основание для проведения работ

• приказ, распоряжение или иной документ при самостоятельном проведении;
• договор или иной документ заключенный между заказчиком (оператором) и исполнителем, содержащий следующие этапы:
  • анализ уязвимостей информационной системы, выполняемый исполнителем;
  • устранение заказчиком выявленных уязвимостей информационной системы;
  • повторный анализ уязвимостей информационной системы с целью проверки устранения заказчиком (оператором) уязвимостей информационной системы.

Порядок проведения анализа уязвимостей

• сбор исходной информации;
• внешний анализ уязвимостей;
• внутренний анализ уязвимостей;
• оценка выявленных уязвимостей.

По результатам сбора исходной информации формируются следующие исходные данные, необходимые для проведения внешнего и внутреннего сканирования:

1. cостав и версии системного и прикладного программного обеспечения, средств защиты информации, а также сетевых служб и приложений;
2. наличие актуальных обновлений системного и прикладного программного обеспечения, средств защиты информации, а также сетевых служб и приложений;
3. архитектура (карта) сети передачи данных информационной системы и ее сегментов (при наличии), включая перечень IP-адресов, доменных имен;
4. способы и технологии идентификации и аутентификации пользователей информационной системы, включая типы пользователей, учетные данные пользователей;
5. сведения о типовых конфигурациях системного и прикладного программного обеспечения, средств защиты информации, а также сетевых служб и приложений (при их наличии).

Внешнее и внутренние сканирование

Примечания:

• необходимый перечень работ указан в п.3.2.5 (таблица 2 для С1) и п.3.3.5 (таблица 3 для С2) Методики;
• границы для каждого типа сканирования обязательно согласовываются между заказчиком (оператором) и исполнителем до начала работ (п. 2.5., 2.13. – 2.15. Методики);
• внутреннее сканирование (С2) проводится от лица привилегированного пользователя с административными правами доступа и правами сетевого доступа. В этом случае заказчик (оператор) организует создание соответствующей тестовой привилегированной учетной записи для проведения анализа уязвимостей, которая подлежит удалению (блокированию) заказчиком после завершения проведения испытаний (п. 2.11. Методики);
• состав и содержание работ по анализу уязвимостей, проводимых в рамках аттестации ИС, в ходе оценки соответствия ИС или контроля защищенности информации от несанкционированного доступа включается в программу и методики аттестационных испытаний, приказ, распоряжение руководителя заказчика (оператора) или уполномоченного им лица на проведение работ (в случае проведения работ структурным подразделением, специалистами по защите информации) или в иной документ, на основании которого исполнителем проводятся испытания.

Средства, применяемые при сканировании

• при проведении анализа уязвимостей ИС применяются сертифицированные по требованиям безопасности информации ФСТЭК России средства выявления уязвимостей;
• дополнительно могут применяться иные инструментальные средства, функциональные возможности которых обеспечивают реализацию положений Методики, имеющие техническую поддержку и возможность адаптации (доработки) под особенности проводимых работ, либо свободно распространяемые в исходных кодах, либо средства собственной разработки, не имеющие каких-либо ограничений по их применению, адаптации (доработке) на территории Российской Федерации.

Допускается использовать средства выявления уязвимостей, принадлежащие исполнителю, и (или) по согласованию с исполнителем средства выявления уязвимостей заказчика (оператора).

Оценка и устранение уязвимостей

Результат сканирования – отчёт (протокол)

По результатам проведения анализа уязвимостей исполнителем разрабатывается отчет или протокол (при проведении аттестационных испытаний) (п. 4.1. Методики).

Отчет (протокол) должен содержать (п. 4.2. Методики):

1. сведения об основании для проведения работ, наименования заказчика и исполнителя работ, сроки проведения работ, их цели и задачи;
2. информация об используемых средствах выявления уязвимостей, а также инструментальных средствах;
3. результаты инвентаризации информационной системы, включающие перечень адресов, портов, сетевых служб, сервисов, интерфейсов, а также перечень программного обеспечения, содержащегося в ИС;
4. краткое описание процесса проведения внешнего и внутреннего тестирования;
5. перечень выявленных уязвимостей ИС, а также описание выявленных уязвимостей с приложением отчетов, сформированных средствами выявления уязвимостей;
6. результаты оценки критичности выявленных уязвимостей ИС;
7. перечень выявленных уязвимостей ИС, подлежащих устранению в ходе анализа уязвимостей, с обоснованием необходимости их устранения для предотвращения реализации угроз безопасности информации (векторов атак), приводящих к возникновению негативных последствий;
8. рекомендации исполнителя по устранению выявленных уязвимостей ИС;
9. результаты повторного анализа уязвимостей ИС, проводимого с целью подтверждения устранения заказчиком (оператором) выявленных уязвимостей ИС;
10. ограничения, которые заказчик (оператор) накладывает на действия исполнителя в ходе анализа уязвимостей ИС (например, запреты на определенные виды работ, исключение объектов ИС из границ проведения работ, непредставление требуемой информации или доступа для подключения к ИС).

Заключение в части практического применения Методики

1. Методика не устанавливает жёстких временных рамок для выполнения работ. Согласно п. 2.9, период проведения анализа определяется заказчиком по согласованию с исполнителем и фиксируется в договоре или внутреннем распоряжении. При этом заказчик вправе устанавливать перерывы в проведении работ, при которых все работы исполнителем приостанавливаются. Это означает, что фактическая длительность анализа зависит от готовности заказчика: предоставления доступов, устранения выявленных уязвимостей, организации взаимодействия. В случае задержек со стороны оператора сроки могут увеличиваться неограниченно, что критично при проведении аттестации ИС.

2. На практике уязвимости, связанные с использованием небезопасных протоколов (SSL 2.0/3.0, TLS 1.0, SSHv1, SMBv1 и др.), часто включаются в БДУ ФСТЭК России с присвоением уровней «критический» или «высокий».

Методика не предусматривает исключений для случаев, когда уязвимости связаны с технической невозможностью устранения, например:

• использование устаревшего оборудования (промышленные контроллеры, медицинские приборы, встроенные системы), не поддерживающего обновление ПО;
• зависимость от проприетарного ПО поставщика, который не выпускает обновлений;
• отсутствие совместимости с современными протоколами у сторонних систем-партнёров.

При этом, согласно п. 3.4.4 Методики «Заказчиком (оператором) в ходе проведения анализа уязвимостей должны быть приняты меры по устранению всех уязвимостей критического и высокого уровней опасности». Это положение формулируется как обязательное и безусловное требование.

Следовательно, если уязвимость связана с использованием старого протокола и остаётся доступной для потенциального нарушителя (даже теоретически), то заказчик формально не может выполнить требование п. 3.4.4, поскольку устранение технически невозможно. Компенсирующие меры (например, межсетевые экраны, сегментация) не отменяют самого факта наличия уязвимости, если она остаётся в конфигурации системы, но являются единственным решением в данной ситуации. При этом подтверждением невозможности реализации уязвимости должен стать результат тестирования на проникновение, которое также проводится в обязательном порядке в большинстве случаев при проведении аттестации ИС.

Приложение № 1 Предполагаемый алгоритм действий по Методике (при наличии уязвимостей)