Работающая в сфере информационной безопасности компания Positive Technologies изучила и опубликовала результаты собственного опыта взаимодействия с разработчиками программного обеспечения в области раскрытия уязвимостей.
Ретроспективный анализ статистики коммуникаций с вендорами показал, что в 2022-2023 годах 57 % производителей ПО оперативно отвечали исследователям компании, при этом только 14 % всех разработчиков выпускали обновления для уязвимого софта в оптимально короткие сроки — от одного дня до двух недель.
Количество обнаруженных уязвимостей в 2021-2023 годах по данным NIST (источник изображения: Positive Technologies)
По данным Национального института стандартов и технологий США (The National Institute of Standards and Technology, NIST), число обнаруженных уязвимостей постоянно растёт: в 2023 году их количество (28 902) превысило показатели предыдущих двух лет на 42 % и 14 % соответственно. Кроме этого, каждый взлом и утечка обходятся бизнесу все дороже: средняя стоимость утечки, по данным IBM, за последние три года выросла на 15 %, достигнув 4,45 млн долларов США. В связи с этим особое значение для укрепления защиты приобретает построение доверительных и прозрачных отношений между поставщиками ПО и исследователями ИБ, подчёркивают в Positive Technologies.
Эксперты компании рекомендуют вендорам придерживаться профессионального подхода: следовать политике ответственного разглашения, доверять исследователям безопасности и поддерживать с ними активную коммуникацию, информируя о каналах связи. Кроме того, специалисты советуют производителям ПО выстраивать процесс управления уязвимостями, используя системы, предоставляющие информацию о серьёзных недоработках в программном коде, которые важно устранять в первую очередь.
Источник:
