В статье рассматриваются современные подходы к построению процесса управления уязвимостями в ИТ-инфраструктуре организаций с акцентом на приоритизацию уязвимостей и активов. Описываются ключевые этапы процесса: инвентаризация, выявление и оценка уязвимостей, приоритизация и устранение, а также мониторинг эффектив-ности мер. Особое внимание уделено критериям классификации и приоритизации активов с учетом их бизнес-значимости, уровня доступа, последствий компрометации и сетевой доступности. Среди методов оценки уязвимостей анализируются существующие стандарты (CVSS 3.1), особенности zero day, доступность публичных эксплойтов и использование данных о трендах эксплуатации. Отмечается недостаточность стандартных методик приоритизации, предлагаются возможные усовершенствования, в том числе автоматизация с помощью современных сканеров и технологий машинного обучения. Разработанная модель приоритизации интегрируется в жизненный цикл процесса управления уязвимостями, закрепленный методическим документом ФСТЭК России, за счет чего формируется итоговая группировка из пяти групп приоритизации, возникающая на пересечении приоритета актива и критичности уязвимости и определяющая срок устранения, не превышающий регуляторный норматив. Эффективность разработанной модели оценивается с использованием отечественных нормативных метрик – операционных показателей методического документа ФСТЭК, коэффициента защищенности информации (КЗИ) и показателя зрелости процессов защиты информации (ПЗИ), что позволяет напрямую увязать результаты внедрения модели с требованиями регулятора. Полученные результаты могут быть использованы как готовое решение или в качестве основы для построения детализированного процесса управления уязвимостями с перспективой дальнейшей автоматизации.

1.??ФСТЭК России. Руководство по управлению уязвимостями программного обеспечения и программно-аппаратных средств в органе (организации). Методический документ. – М., 2023. – 29 с. – URL: https://base.garant.ru/

406955550/ (дата обращения: 07.09.2026).

2.??Qualys VMDR – Vulnerability management, detection and response (official documentation). – URL: https://docs.qualys.com/en/vm/latest/about_qualys_vm_

vmdr.htm (accessed: 07.09.2026).

3.??Tenable Nessus vs Qualys VMDR vs Rapid7 InsightVM: Vulnerability scanner comparison for enterprise security teams (2026). – URL: https://www.decryptiondigest.com/blog/tenable-nessus-vs-qualys-vmdr-vs-rapid7-insightvm-vulnerability-scanner-comparison (accessed: 07.09.2026).

4.??Rapid7 InsightVM vs Tenable Nessus 2026: Coverage, risk. – https://www.decryptiondigest.com/blog/rapid7-vs-tenable-vulnerability-management (accessed: 07.09.2026).

5.??MaxPatrol VM – Positive Technologies. – https://global.ptsecurity.com/en/

products/mp-vm/ (accessed: 07.09.2026).

6.??SEEMA: An automation framework for vulnerability assessement and penetration testing / Y. Tyagi, S. Shekhar, P. Abhishek, S. Bhardwaj // 2023 2nd International Conference on Vision Towards Emerging Trends in Communication and Networking Technologies (ViTECoN). – Vellore, India, 2023. – P. 1–5. – DOI: 10.1109/ViTECoN58111.2023.10157032.

7.??Automated CVE Triage: Ai-agent framework for scalable vulnerability

triaging and security automation / N. Amirov, E. Huseynov, N. Aliyev, S. Bahtiyar // 2025 18th International Conference on Information Security and Cryptology

(ISCTürkiye). – Ankara, Turkiye, 2025. – P. 1–6. – DOI: 10.1109/

ISCTrkiye68593.2025.11224852.

8.??Cyril H.P., Kumara S. DevSecOps-driven security integration in the software development lifecycle using CI/CD pipelines // 2026 IEEE 5th International Conference on AI in Cybersecurity (ICAIC). – Houston, TX, USA, 2026. – P. 1–6. – DOI: 10.1109/ICAIC67076.2026.11395737.

9.??Jung B., Li Y., Bechor T. CAVP: A context-aware vulnerability prioritization model // Computers and Security. – 2022. – Vol. 116. – P. 102639. – DOI: 10.1016/

j.cose.2022.102639.

10.??Conflicting scores, confusing signals: An empirical study of vulnerability scoring systems / V. Koscinski, M. Nelson, A. Okutan, R. Falso, M. Mirakhorli // Proceedings of 32nd ACM Conference on Computer and Communications Security (CCS) (ACM CCS 2025). – Taipei, Taiwan, 2025. – URL: https://arxiv.org/pdf/

2508.13644 (accessed: 07.09.2026).

11.??A survey on vulnerability prioritization: Taxonomy, metrics, and research challenges / Y. Jiang, N. Oo, Q. Meng, H.W. Lim, B. Sikdar // arXiv. – 2025. – URL: https://arxiv.org/pdf/2502.11070 (accessed: 07.09.2026).

12.??Fragmentation of CVSS scores in the NVD: A quantitative analysis of inconsistency across vulnerability scoring standards / M. Walkowski, M. Nowak, A. Balsam, K. Nowak, J. Oko, S. Sujecki // Computers and Security. – 2026. – Vol. 169. – P. 104978. – DOI: 10.1016/j.cose.2026.104978.

13.??An empirical study of automation in software security patch management / N. Dissanayake, A. Jayatilaka, M. Zahedi, M.A. Babar // arXiv. – 2022. – URL: https://arxiv.org/pdf/2209.01518 (accessed: 08.09.2026).

14.??Software security patch management: A systematic literature review of challenges, approaches, tools and practices / N. Dissanayake, A. Jayatilaka, M. Zahedi, M.A. Babar // Information and Software Technology. – 2022. – Vol. 144. – DOI: 10.1016/j.infsof.2021.106771.

15.??Saadallah M., Shahim A., Khapova S. Rethinking vulnerability management: How AI and automation reshape organizational routines and supports adaptive cybersecurity systems // Systems (MDPI). – 2026. – Vol. 14 (5). – P. 573. – DOI: 10.3390/systems14050573.

16.??Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств: утв. ФСТЭК России 28.10.2022. – URL: https://bazanpa.ru/fstek-rossii-metodika-ot28102022-h5766872/ (дата обращения: 08.09.2026).

17.??Методика оценки показателя состояния технической защиты информации в информационных системах и обеспечения безопасности значимых объектов КИИ РФ: утв. ФСТЭК России 11.11.2025). – URL: https://www.garant.ru/

products/ipo/prime/doc/412956179/ (дата обращения: 08.09.2026).

18.??Шелыгин И. Приказ ФСТЭК № 117: понятный разбор для бизнеса: КЗИ и ПЗИ – практическое значение показателей. – 2026. – URL: https://passwork.ru/blog/prikaz-fstek-117/ (дата обращения: 08.09.2026).