Уязвимость информационной системы — это слабое место, дефект или неверная настройка, через которую злоумышленник может получить доступ к данным или нарушить работу системы. Недостаток может быть в программном обеспечении, в аппаратных средствах, в настройках, в технологических процессах и в действиях людей.
Уязвимость простыми словами — это плохо поставленный замок. Дверь может быть дорогой и современной, но если замок слабый или смонтирован с ошибкой, система считается уязвимой. Пока слабое место существует, оно может прийти в негодность в любой момент, и совсем не факт, что это произойдёт сегодня.
Формально уязвимость определяется ГОСТ Р 56546-2015 как «недостаток ресурса информационной системы, который может быть использован для реализации угрозы». Практический смысл этой формулировки: сама по себе уязвимость — это ещё не потеря и не взлом. Это только возможность, которой злоумышленник может воспользоваться, а может и не воспользоваться.
📌 Уязвимость, угроза и риск — это разные вещи. Уязвимость — дефект в системе. Угроза — намерение и возможности злоумышленника. Риск — возможные потери, если угроза реализуется именно через эту уязвимость. Одна и та же уязвимость на внутреннем узле может быть низким риском, а на узле с персональными данными, доступным из интернета, — высоким. Поэтому оценивают не просто количество уязвимостей, а их критичность для конкретной системы.
