vulnerability

Уязвимость в ITSM — это любая слабость в услуге, продукте, процессе, конфигурации, среде или поведении людей, которая позволяет реализоваться угрозе и привести к негативному результату для организации. На практике уязвимости выявляются и управляются как часть управления информационной безопасностью и управления рисками: их обнаруживают (сканирование, аудит, анализ конфигураций, результаты инцидентов), оценивают по вероятности и влиянию, назначают владельцев, планируют устранение и отслеживают выполнение до закрытия. Уязвимость может быть технической (ошибка в компоненте, небезопасные настройки), организационной (неопределённые роли, отсутствие процедуры), или связанной с людьми (низкая осведомлённость, слабая дисциплина паролей). Часто уязвимость превращается в конкретные работы через изменение, а временно снижают риск обходным решением или дополнительным контролем. При этом термин не описывает саму угрозу и не равен реализованному событию: наличие уязвимости ещё не означает, что атака или сбой произошли.

Уязвимость часто путают с угрозой и риском. Угроза — это потенциальный источник вреда (например, злоумышленник или вредоносное ПО), уязвимость — «слабое место», которое может быть использовано, а риск — сочетание вероятности и воздействия, учитывающее и угрозы, и уязвимости. Ещё одна частая ошибка — считать уязвимостью только дефект в ПО; на деле уязвимостью может быть отсутствие контроля, например, отсутствие многофакторной аутентификации, неограниченные права, отсутствие мониторинга или неполная сегментация сети. В операционной работе встречается подмена понятий: обнаруженная уязвимость воспринимается как инцидент. Инцидент возникает, когда слабость уже привела к нарушению или ухудшению услуги, тогда как уязвимость может существовать незаметно. Также ошибочно закрывать уязвимость формально, не проверив результат: устранение должно подтверждаться повторной валидацией (сканированием, тестом, аудитом). Наконец, важно не сводить работу к «поставить патч»: иногда первопричина — некорректная конфигурация, слабая процедура управления изменениями или отсутствие необходимого контроля, и без исправления этих аспектов уязвимость будет воспроизводиться.