Более 40% уязвимостей не ликвидируют вовремя после пентеста

Новость17/04/2025

Компании своевременно устраняют лишь 56% уязвимостей, обнаруженных во время тестирования на проникновение. Эксперты «Информзащиты» называют главной причиной сложившейся ситуации плохо выстроенный процесс принятия решений о совершенствовании ИБ-системы после проведения пентеста.

Специалисты интегратора указывают, что согласно требованиям ФСТЭК, критические уязвимости необходимо устранять в течение 24 часов, уязвимости высокого уровня опасности – в срок до 7 дней. Однако даже среди таких уязвимостей 28% не устраняются вовремя. Эксперты рекомендуют устранять уязвимостей среднего уровня опасности в течение 14 дней, однако среднее время устранения в первые три месяца 2025 года составляет 35 дней.

Эксперты «Информзащиты» подчеркивают, что на медленное устранение уязвимостей влияют несвоевременная реакция руководства, долгое согласование решений и отсутствие согласованности между подразделениями, недостаточное финансирование ИБ и технические ограничения, в том числе недостаток компетенций внутренней ИБ-команды, проблемы с импортозамещением и отсутствие автоматизированных инструментов управления уязвимостями. Среди отраслей наибольшие трудности наблюдаются в образовании и здравоохранении, где вовремя не ликвидируют более 70% уязвимостей.

«Многие компании часто откладывают решение выявленных в ходе пентеста проблем, полагая, что команда ИБ предотвратит атаку, зная возможные векторы. Но проведение тестирования – это лишь половина пути, нельзя избежать инцидента, просто зная, как и почему он может произойти», - говорит руководитель направления анализа защищенности Центра мониторинга и противодействия кибератакам IZ:SOC «Информзащиты» Анатолий Песковский.

В 2024 году, отмечают в «Информзащите», среднее время эксплуатации уязвимости с момента ее публичного раскрытия сократилось до 5 дней с 32 дней в 2022 году. Что касается 0-day уязвимостей, найти которые в том числе задача пентеста, в 2024 году число атак с их использованием увеличилось на 18% и составило порядка 115 атак. Примерно в 20% случаев, по оценкам специалистов «Информзащиты», уязвимости были выявлены в результате тестирования на проникновение, однако не были вовремя ликвидированы.

Эксперты интегратора рекомендуют внедрять и поддерживать эффективный процесс управления уязвимостями, включая все этапы от инвентаризации активов до контроля устранения уязвимостей, регулярно проводить обучение и повышение осведомленности сотрудников в области информационной безопасности.

«Компании могут не иметь достаточно технических инструментов и компетенций для ликвидации всех уязвимостей. В этом случае необходимо обращаться к профильным ИБ-компаниям, которые обладают достаточным опытом и могут оказать качественные услуги по обнаружению и устранению уязвимостей, модификации и поддержке ИБ-системы», - подчеркивает Песковский.

Защитите свой
бизнес от киберугроз

Ваша заявка успешно отправлена

Мы изучим заявку и свяжемся с вами

Закрыть