въпросникът пита колко бързо прилагаме актуализациите за сигурност

Политиката за поправки попада под управление на уязвимостите, а не под реакция на инциденти

Въпросът относно скоростта на актуализациите и кориците касае процеса за управление на уязвимостите: как бързо сигнализирате, че е налична кориця, и как бързо я разгръщате. Това е различен процес от реагирането на инциденти — инсталирането на кориця е превантивно, разрешаването на инцидент е реактивно. Клиентите често задават този въпрос отделно един от друг в един и същи списък, и е разумно да отговорите и отделно: тези, които смесват управлението на уязвимостите с реагирането на инциденти, дават отговор, който не е верен при допълнително запитване.

Конкретното доказателство за този въпрос обикновено е график с крайни сроци по категория риск: критични уязвимости в рамките на X дни, висок риск в рамките на Y дни, и т.н. — плюс регистър, който показва, че тези крайни сроки наистина са спазени. Ако не сте го документирали, тогава "не" е честния отговор на този въпрос, дори и ако кориците на практика ходят достатъчно бързо; недокументирана навика не е доказуем процес. Свързаната част на досието относно процес за откриване и отстраняване на уязвимостите е място, където можете да го направите правилно следващия път. Обърнете внимание и на обхвата на въпроса: някои портали задават този въпрос само за системи, които обработват данни на клиенти, други за цялата ИТ среда, включително работни места — това е значителна разлика в това, което трябва да можете да покажете.

Където това произтича: член 21 алинея 2 и Приложение А

Член 21, параграф 2 от Директива NIS2 споменава управление на уязвимостите и работа с известни слабости като една от десетте задължителни мерки за субекти, попадащи под директивата; Законът за киберсигурност прилага това в нидерландското законодателство. Дали това задължение се прилага за самото предприятие, зависи от или дали предприятието попада под директива NIS2 — но дори без това задължение по-голям клиент често го поиска, като част от собствената си оценка на верига. ISO/IEC 27001 го развива допълнително под контролните мерки на Приложение A, където управлението на кръпки и техническото управление на уязвимостите се появяват отново като отделна контролна точка.