Огромное спасибо за разъяснения.
Что бы не вставлять палки в колеса, необходимо провести комплекс мероприятий АН3.1 (анализ защищенности, напр. Сканер-ВС, OpenVAS), получить информацию об уязвимостях и т.д. Пригласить независимых экспертов (с лицензией разумеется). Составить грамотный анализ и обосновать все, подкрепляя данными из официальных источников.
Можно и без экспертов, если уязвимость и возможность ее эксплуатации в конкретной системе не вызывают сомнений. Такие вопросы в процессе эксплуатации системы целиком и полностью лежат на эксплуатантах, а не лицензиатах, буде позволяет квалификация...
А, главное, после всех этих действий написать-таки и утвердить инструкцию, с которой ознакомить "всех, кого касается". Причем желательно с двумя путями решения: либо обновление от производителя, либо коллективное решение в индивидуальном порядке (для случая производственной необходимости использовать уязвимый софт, ТС и т.д.). Чтобы в будущем не попасть на те же грабли по-новой...
