Списъкът с въпроси пита колко бързо инсталираме корекции, какво попълвам

Сроковете за прилагане на корекции попадат под политиката за управление на уязвимостите, а не под отговора на инциденти

Въпросът за бързината на актуализиране или прилагане на корекции е част от процеса за управление на уязвимостите, който е една от десетте мерки по член 21, параграф 2 NIS2. Клиентите обикновено задават този въпрос с конкретен срок: "в рамките на 14 дни за критични корекции" или "в рамките на 30 дни за висок риск". Ако вашата организация не прилага фиксиран срок за всяко ниво на тежест, не попълвайте сляпо един от тези номера — опишете какво действително се случва, например че корекциите се приоритизират на базата на CVSS-оценка или препоръка на производителя, и че критични уязвимости се издават извън регулярния цикъл на поддръжка.

Доказателството за това обикновено е политика за управление на корекциите с прилаганите сроки за всеки клас риск, плюс извлечение от регистъра на корекциите или билетната система, което показва, че тези сроки действително се спазват. Ако липсва последното, описание на процеса без измервания е по-добро от попълнена срок, който не можете да докажете. Този предмет се припокрива с процеса за идентифициране и отстраняване на уязвимостите — често това е един и същ въпрос в друг въпросник, затова проверете дали вече имате отговор в файла на веригата преди да започнете отново.

Къде е това в ISO 27001 и член 21

В ISO/IEC 27001 управлението на корекциите попада под контролните мерки на Приложение A, свързани с технически уязвимости; одиторите обикновено питат за документиран срок И за доказателство за съответствие през последния период, не само за политиката на хартия. В самия NIS2 няма фиксиран срок за прилагане на корекции — член 21, параграф 2 посочва управлението на уязвимостите като задължителна мярка, но оставя прилагането на усмотрението на организацията. Ако очаквате, че Законът за кибербезопасност след влизането му в сила на 15 август 2026 г. ще предпишет конкретен срок, проверете това при публикуването на окончателния текст; в момента това още не е установено. Ако вие все още нямате номериран сроковете за всяко ниво на риск, това засяга и въпроса дали има политика за анализ на риска и защита на информационните системи, тъй като приоритизирането на корекциите обикновено се основава на този анализ на риска.