1. **Уязвимость информации в информационных системах** - ситуация, при которой злоумышленник может получить доступ к информационней системе, путём использования уязвимостей или слабостей, оставленных при проектирование информационной системы, для компрометации, повреждения, фальсификации информации.
Примеры уязвимостей:XSS - cross site scriptingRCE - remote code executionSQL injectionBuffer overflowDirectory traversalLFI - local file inclusionRace conditionROP - return object programmingSSRF - server side request forgeryBroken authentication
2. **Коммерческая тайна** - это конфиденциальная информация, которая позволяет её правообладателю получить коммерческую выгоду при различных обстоятельствах, либо удержать позиции на рынке, либо избежать неоправданных расходов.
3. **Причины возникновения уязвимостей информации:**-Устаревшее ПО;-Некачественная настройка оборудования;-Невнимательность при проектировании системы;
**Классификация уязвимостей**:- уязвимости кода;- уязвимости конфигурации;- уязвимости архитектуры;- организационные уязвимости;- многофакторные уязвимости.
**Модель уязвимостей по ГОСТ:**
Обязательные пункты:- идентификатор уязвимости;- наименование уязвимости;- класс уязвимости;- наименование программного обеспечения (ПО) и его версия.
Дополнительные пункты:- наименование операционной системы и тип аппаратной платформы;- язык программирования ПО;- служба (порт), которую(ый) используют для функционирования ПО;
- степень опасности уязвимости.- краткое описание уязвимости;- идентификаторы других систем описаний уязвимостей;- дата выявления уязвимости;- автор, опубликовавший информацию о выявленной уязвимости;- критерии опасности уязвимости.
Пример - Описание уязвимости в части элемента "Наименования уязвимости": уязвимость, приводящая к переполнению буфера в службе RPC DCOM в операционных системах Microsoft Windows 4.0/2000/ХР/2003 (Vulnerability Windows XP RPCSS DCOM Buffer Overflow).
Модель уязвимостей по ФСТЭК:(Нетрудно найти в интернете соответствующую картинку)