Списъкът пита за нашата политика за пачове за актуализиране на софтуер

Политиката за поправки попада под управление на уязвимостите, а не под реакция на инциденти

Въпросът относно политиката за поправки принадлежи към процеса за идентифициране и отстраняване на уязвимостите, а не към реакция на инциденти. Клиентите искат да знаят дали актуализациите се разпространяват структурирано и навременно, с разграничение между критични поправки (често в рамките на дни) и редовни актуализации (често в рамките на фиксиран цикъл от седмици). Отговор, който само казва "редовно актуализираме", е твърде неопределен; обикновено се очаква конкретен краен срок за всеки клас риск и информация кой е отговорен за извършването и контрола на това.

Ако нямаш установени крайни срокове, тогава "не" е честният отговор, дори ако в практиката патчваш бързо. Процедура, която съществува само в главата на някого, не е политика, която можеш да докажеш. Често в същия списък се задава и въпрос дали тази политика за поправки е част от по-широк процес за анализ на риска — ако за него вече съществува установена политика, можеш да включиш политиката за поправки като част от него вместо да я документираш отделно. Обръщай внимание и на обхвата на въпроса: касае ли се това на твоята собствена инфраструктура, на продукти, които доставяш, или и на двете. Това определя дали твоят доказателствен документ е вътрешен политически документ или издадени бележки по освобождаване насочени към клиентите.

Проследяемо на членка 21, параграф 2 от NIS2

Управление на уязвимостите и отстраняването им (обработка и разкриване) е посочено като отделна мярка в членка 21, параграф 2 на Директива (ЕС) 2022/2555, наред с базовите практики за киберхигиена. Политиката за поправки е оперативното внедряване на тази мярка. В ISO/IEC 27001 това се появява в Приложение A, при контролните мерки за технически мониторинг на уязвимостите, където времето на поправките е изрично споменато като контрол. Согласно Закона за кибербезопасност, нидерландския превод на NIS2, това изискване влиза в сила на 15 август 2026 г. за ентитетите, които попадат под закона.