Dotazník se ptá, jak rychle provádíme aktualizace zabezpečení

Zásady pro záplaty spadají pod správu zranitelností, nikoli pod reakci na incidenty

Otázka na rychlost aktualizací a záplat se týká procesu správy zranitelností: jak rychle signalizuješ, že je záplata k dispozici, a jak rychle ji zavádíš. To je jiný proces než reakce na incidenty — instalace záplaty je preventivní, řešení incidentu je reaktivní. Zákazníci si tuto otázku často kladou odděleně od sebe v tomtéž seznamu, a je rozumné odpovídat také odděleně: kdo míchá správu zranitelností s reakcí na incidenty, poskytuje odpověď, která při zpětné kontrole neobstojí.

Konkrétní důkaz pro tuto otázku je obvykle časová osa s lhůtami podle kategorie rizika: kritické zranitelnosti během X dní, vysoké riziko během Y dní, a tak dále — plus protokol, který ukazuje, že se těmto lhůtám skutečně dostává. Pokud jsi to neměl zdokumentováno, pak je "ne" poctivá odpověď na tuto otázku, a to i když v praxi záplaty jdou dost rychle; nedokumentovaná zvyklost není dokazatelný proces. Příslušná část spisu o proces pro identifikaci a nápravy zranitelností je místem, kde to příště můžeš zopakovat. Věnuj pozornost také rozsahu otázky: některé portály se na to ptají pouze pro systémy, které zpracovávají údaje zákazníků, jiné pro celé IT prostředí včetně pracovních stanic — to dělá velký rozdíl v tom, co musíš ukázat.

Kde to vyplývá: článek 21 odstavec 2 a Příloha A

Článek 21 odstavec 2 směrnice NIS2 jmenuje správu zranitelností a nakládání se známými slabými místy jako jedno z deseti povinných opatření pro subjekty, na které se směrnice vztahuje; zákon o kybernetické bezpečnosti to transponuje do nizozemské legislativy. Zda se tato povinnost vztahuje na samotný podnik, závisí na zda společnost spadá pod směrnici NIS2 — ale i bez této povinnosti si większy zákazník to často položí jako součást svého vlastního posouzení řetězce. ISO/IEC 27001 to dále rozpracovává pod kontrolními opatřeními Přílohy A, kde se správa záplat a technická správa zranitelností objevují jako samostatný kontrolní bod.