В наше время актуальной становится проблема управления уязвимостями информационной системы. Различные системы оценки уязвимостей, например CVSS, позволяют провести ранжирование уязвимостей на основании их уровней опасности. Возникает необходимость в определении целесообразности применения защитных мер и средств для устранения непропатченных уязвимостей. Для решения этой задачи предлагается использовать риск-ориентированный подход, который позволяет выбрать наиболее оптимальный способ для устранения обнаруженных уязвимостей. Риск предлагается оценивать как комбинацию вероятности нарушения критических свойств информационного актива и величины возникающего при этом ущерба. Для расчета вероятности нарушения конфиденциальности, целостности и доступности информационного актива предлагается использовать значения базовых и временных CVSS метрик уязвимостей информационной системы. Представленный метод позволяет определить вероятностную составляющую риска без привлечения экспертов, поэтому он может быть полезен при построении автоматизированной системы оценки рисков.

Nowadays the problem of information system vulnerability management has become an actual. There are different vulnerability scoring systems, e. g. CVSS, which allow to rank detected vulnerabilities based on their severity values. It is necessary to determinate the feasibility of additional countermeasures using for elimination of unpatched vulnerabilities. To solve this problem the risk-oriented approach is offered, which allows choose the best way for detected vulnerabilities eliminating. It is proposed to assess the risk as combination of the likelihood of information asset critical properties losing, and the impact caused by this. To calculate the probability of information asset confidentiality, integrity and availability losing, it is offered to use base and temporal CVSS metrics of information system vulnerabilities. The presented method allows determine the probability component of risk without expert involvement, thereby it can be useful to build an automated risk assessment system.