У нас есть сканер уязвимостей, отчёты приходят регулярно, и в каждом по нескольку тысяч

Добрый день. У нас есть сканер уязвимостей, отчёты приходят регулярно, и в каждом по нескольку тысяч записей. Дальше эти отчёты уходят в ИТ, где на них смотрят с тоской и закрывают то, что попроще. Никакой системы в этом нет, метрик тоже, и через год картина не меняется. Понимаю, что проблема процессная, но не понимаю, как её выстроить. Кто проходил этот путь, подскажите, с чего начинали. Инфраструктура около шестисот узлов, обновления идут по остаточному принципу. Обновления согласовываются тяжело, окна для работ дают редко.

Проблема действительно процессная: сканер показывает всё подряд, а решать надо, что чинить первым. Поэтому класс VM это не про сканирование, а про управление устранением, то есть про приоритизацию, назначение ответственных и контроль сроков. Начинайте с двух вещей: инвентаризации активов с их значимостью для бизнеса и договорённости с ИТ о правилах приоритизации. Без этого любые отчёты остаются информационным шумом. И вводите метрику по срокам устранения, иначе прогресс нечем измерять. Начните с внешнего периметра, там результат виден быстрее всего и его проще показать руководству. При редких окнах особенно важно приоритизировать: за одно окно вы закроете не всё, а самое важное.