Управление уязвимостями перестало быть разовым проектом или отдельным инструментом и стало обязательной частью управления рисками компании, говорится в финале практического руководства по этой теме. Процесс должен быть встроен в анализ сетевой инфраструктуры, контроль конфигураций и управление инцидентами: по отдельности он не работает.

Подход «залатать все» окончательно устарел: в год выходит около 48 тысяч уязвимостей, а реально опасна меньше процента из них. Приоритизацию предлагается строить на сочетании CVSS, вероятности эксплуатации (EPSS), факта активной эксплуатации (KEV и трендовые уязвимости БДУ), особенностей своей инфраструктуры и методики ФСТЭК. Единой правильной методологии нет — инструменты нужно сочетать под конкретную ситуацию.

За время с первого издания книги поток уязвимостей вырос почти вдвое, а эксплуатация уязвимостей вышла на первое место среди способов взлома компаний. Опираться на один источник данных стало рискованно: мировая инфраструктура CVE и NVD пережила кризис. В России приказ ФСТЭК № 117 впервые ввёл обязательные сроки устранения, а штрафы за утечки данных стали оборотными.

Среди новых тем — EASM для поиска забытых активов на периметре, автопентест и BAS для непрерывной проверки защиты, CTEM как единая программа с фокусом на бизнес-критичном, а также контейнеры и облака с разделённой ответственностью. Искусственный интеллект одновременно усилил защитников, вооружил злоумышленников и стал новым объектом атак, сжав окно реакции до часов.

Главный тренд — автоматизация и скорость: интеграция с системами безопасности, автоматическая доставка и устранение патчей, ИИ для анализа уязвимостей. При этом «вовремя» с каждым годом означает всё меньший срок. Универсального рецепта нет: принципы нужно адаптировать под отрасль, географию и требования регуляторов.

Для старта предлагается минимальный набор действий: посчитать активы, подключить хотя бы один источник данных об уязвимостях и сверить находки с каталогом KEV или трендовыми ФСТЭК, завести SLA на устранение (например, критическое — за 24 часа, высокое — за неделю), договориться с ИТ о том, кто и когда патчит, и посмотреть на периметр глазами атакующего. Через полгода стоит вернуться к лестнице зрелости и честно оценить прогресс.

EASM, автопентест, CTEM и ИИ авторы называют надстройками над рабочим базовым процессом, а не заменой ему. Успех держится не только на технологиях, но и на культуре компании: непрерывном совершенствовании и своевременной коммуникации между ИТ и ИБ, поскольку лучший сканер бесполезен, если две команды не разговаривают друг с другом.