В работе предложена методика оценки возможности реализации информационных угроз нарушителем на основе расчета расхождения между текущими и эталонными параметрами. Текущие и эталонные параметры определяются на основе характеристик CVE базы данных NVD NIST, а также иерархии CWE и CAPEC баз данных MITRE. Предложен алгоритм отбора уязвимостей, обеспечивающий проактивный подход к определению угроз информационной системы. В рамках методики разработана модель информационной системы как набора элементов, характеризуемых набором угроз и распределением прав доступа. Предложены механизмы нормализации параметров в условиях неравномерности выборок для отдельных элементов информационной системы. Показана возможность применения результатов для оценки угроз и потенциала нарушителя, а также для определения актуальных угроз безопасности информации.