«Путаница между угрозой, уязвимостью и риском не просто терминологическая — она заставляет тратить деньги на не те инструменты, оставляя настоящие дыры в обороне. Это знание — фундамент управления, а не просто зазубренные дефиниции.»

Угроза, уязвимость, риск: в чём разница и почему это определяет вашу стратегию защиты

Эти три термина — основа языка, на котором говорят стандарты и регуляторы. Ошибка в их использовании приводит к принятию решений, которые не снижают реальную опасность, а лишь создают видимость работы.

Не синонимы, а звенья одной цепи

Грубая, но наглядная аналогия: уязвимость — это незапертая дверь. Угроза — вор, идущий по улице с набором отмычек. Риск — это вероятность того, что вор заметит вашу дверь, откроет её и унесёт содержимое, стоимость которого вы должны оценить.

Формальная зависимость проста: Риск = Угроза × Уязвимость × Ценность актива. Если в формуле обнулить любой множитель, риск исчезает. Практическая задача — разорвать эту цепь там, где это дешевле и эффективнее.

Суть в деталях

Разберём каждое понятие в прикладном ключе, уходя от абстрактных определений.

Угроза: активный агент вреда

Это источник опасности, обладающий способностью и, что важно, намерением нанести ущерб. Угроза всегда активна, даже если это природная стихия или внутренний нарушитель по неосторожности.

• Примеры: APT-группа, конкурент, вирус-шифровальщик, недовольный сотрудник, пожар в ЦОД.
• Вопрос для идентификации: «Кто или что может осуществить негативное воздействие?»

Уязвимость: пассивная слабость

Это недостаток в системе (процедуре, конфигурации, коде), который делает возможным реализацию угрозы. Уязвимость существует объективно, независимо от наличия угрозы.

• Примеры: неисправленный критический CVE в веб-сервере, политика паролей «123456», открытый S3-бакет с данными, отсутствие резервных копий.
• Вопрос для идентификации: «Где находится слабое место, которое можно эксплуатировать?»

Риск: мера вероятного ущерба

Это не событие, а количественная или качественная оценка того, что угроза эксплуатирует уязвимость и причинит ущерб ценности (активу). Риск — это всегда прогноз, основанный на вероятности и серьезности последствий.

• Примеры: Вероятность 40%, что через уязвимость в CRM произойдёт утечка 100 тыс. записей клиентов, что может привести к штрафам по 152-ФЗ на сумму до 500 тыс. рублей.
• Вопрос для идентификации: «Какова вероятность негативного события и масштаб его последствий?»

Критерий	Угроза	Уязвимость	Риск
Сущность	Активный источник (агент)	Пассивное слабое место (состояние)	Оценка вероятности и последствий (метрика)
Пример	Фишинговая кампания	Отсутствие обучения сотрудников распознаванию фишинга	Высокая вероятность компрометации учётных записей с доступом к финансам
Управление	Снижение вероятности или нейтрализация агента (разведка, блокировка)	Устранение или смягчение слабого места (патч, настройка)	Снижение вероятности или минимизация ущерба (бэкапы, планы реагирования)

Кейс: Утечка исходного кода продукта

Рассмотрим инцидент, в котором различие понятий становится основой для анализа.

Угроза

Конкурирующая компания, стремящаяся сократить время выхода на рынок. Мотив — экономическая выгода. Метод — целевая фишинговая атака (spear-phishing) на ведущего разработчика через профессиональную социальную сеть.

Уязвимости

• Рабочие станции разработчиков имеют прямой доступ в интернет без сегментации.
• В политиках безопасности разрешён запуск макросов из документов, полученных по внешней почте.
• Отсутствует DLP-система для контроля исходящего трафика критически важных данных (исходный код).

Риск и последствия

Реализованная вероятность: высокая (целевая атака на предсказуемую уязвимость).
Последствия: Прямой ущерб — потеря уникальной интеллектуальной собственности, оценка 7-12 млн рублей. Косвенный ущерб — репутационные потери, возможные штрафы регуляторов, срыв переговоров с инвесторами.
Вывод для управления: Ожидаемые потери обосновывают затраты на внедрение сегментации сети, ужесточение политик работы с почтой и развёртывание DLP.

Как это определяет стратегию защиты

Понимание разницы диктует выбор инструментов и приоритетов.

Если работаем с угрозой

Цель — помешать атакующему, сделать атаку нецелесообразной. Это активная оборона.

• Внедрение систем класса Threat Intelligence для отслеживания активности угроз.
• Настройка правил в WAF и NGFW на блокировку известных вредоносных IP-адресов и сигнатур.
• Сокрытие критической инфраструктуры от публичного сканирования (security through obscurity как дополнительный слой).

Если работаем с уязвимостью

Цель — устранить слабое место. Это приведение системы в безопасное состояние.

• Регламентированный процесс патч-менеджмента с приоритизацией по CVSS.
• Регулярный аудит конфигураций (hardening) серверов и сетевого оборудования.
• Статический и динамический анализ безопасности кода (SAST/DAST).

Если работаем с риском

Цель — снизить негативный эффект от реализации угрозы. Это управление последствиями.

• Надёжная стратегия резервного копирования с регулярным тестированием восстановления.
• Сегментация сети для ограничения латерального перемещения в случае взлома.
• Разработка и тренировка планов реагирования на инциденты (IRP) и обеспечения непрерывности бизнеса (BCP).
• Рассмотрение страхования киберрисков.

Чек-лист для анализа инцидента или угрозы

1. Что произошло или может произойти? (Констатация факта/сценария).
   • Пример: «Обнаружены попытки подбора пароля к VPN из адресного пространства другой страны».
2. Какая угроза стоит за этим? (Идентификация агента).
   • Действие: Блокировка подсети, добавление в стоп-листы, анализ мотивации (киберпреступность, конкурент).
3. Через какую уязвимость это возможно? (Поиск корневой причины).
   • Действие: Проверка политики сложности паролей, включение MFA для VPN, аудит логов аутентификации на предмет утечки учётных данных.
4. Каков риск (вероятность и последствия)? (Оценка ущерба).
   • Действие: Оценка того, к каким системам ведёт VPN, есть ли там ПДн, коммерческая тайна. Подготовка сценариев реагирования на успешный взлом.

Итог: от терминов к решениям

Следующий раз, когда столкнётесь с проблемой безопасности, не спешите искать «решение». Сначала задайте вопрос: «Я борюсь с угрозой, устраняю уязвимость или снижаю риск?». Ответ определит класс мер: активные контрмеры, исправление конфигураций или подготовку к смягчению последствий. Умение правильно классифицировать проблему — первый и главный шаг к построению обороны, которая работает не на бумаге, а в реальности.