Η έρευνα ζητά πόσο γρήγορα εφαρμόζουμε ενημερώσεις ασφάλειας

Η πολιτική αστικών τμημάτων εμπίπτει στη διαχείριση ευπαθειών, όχι στην αντιμετώπιση συμβάντων

Το ερώτημα σχετικά με την ταχύτητα ενημερώσεων και διορθώσεων αφορά τη διαδικασία διαχείρισης ευπαθειών: πόσο γρήγορα ειδοποιείς ότι μια διόρθωση είναι διαθέσιμη και πόσο γρήγορα την εγκαθιστάς. Αυτή είναι μια διαφορετική διαδικασία από την ανταπόκριση σε συμβάντα — η εγκατάσταση μιας διόρθωσης είναι προληπτική, η διαχείριση ενός συμβάντος είναι αντιδραστική. Οι πελάτες ζητούν συχνά αυτά τα δύο χωριστά στη σamή λίστα, και είναι σκόπιμο να απαντάται και χωριστά: όποιος συνδυάζει τη διαχείριση ευπαθειών με την ανταπόκριση σε συμβάντα, δίνει μια απάντηση που δεν ισχύει κατά την περαιτέρω έρευνα.

Συγκεκριμένα αποδεικτικά στοιχεία για αυτό το ερώτημα είναι συνήθως ένα χρονολόγιο με προθεσμίες ανά κατηγορία κινδύνου: κρίσιμες ευπάθειες εντός X ημερών, υψηλός κίνδυνος εντός Y ημερών, και ούτω καθεξής — συν ένα αρχείο καταγραφής που δείχνει ότι αυτές οι προθεσμίες πράγματι τηρούνται. Αν δεν το έχεις τεκμηριώσει, τότε το «όχι» είναι η ειλικρινής απάντηση σε αυτό το ερώτημα, ακόμα κι αν οι διορθώσεις είναι αρκετά γρήγορες στην πράξη· μια αδεκμηρίωτη συνήθεια δεν είναι μια αποδείξιμη διαδικασία. Το σχετικό μέρος του αρχείου σχετικά με μια διαδικασία για τον εντοπισμό και την αποκατάσταση των ευπαθειών είναι το σημείο όπου θα μπορούσες να το παραδώσεις την επόμενη φορά. Προσέξ επίσης το πεδίο εφαρμογής του ερωτήματος: ορισμένα πορτάλ ζητούν αυτό μόνο για συστήματα που επεξεργάζονται δεδομένα πελατών, ενώ άλλα για το σύνολο του περιβάλλοντος ΤΠ συμπεριλαμβανομένων χώρων εργασίας — αυτό κάνει σημαντική διαφορά σε αυτό που πρέπει να μπορέσεις να παρουσιάσεις.

Από όπου προκύπτει: άρθρο 21 παράγραφος 2 και Παράρτημα A

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει τη διαχείριση ευπαθειών και τον τρόπο αντιμετώπισης γνωστών αδυναμιών ως ένα από τα δέκα υποχρεωτικά μέτρα για τις οντότητες που υπόκεινται στην οδηγία· το Νόμο περί Κυβερνοασφάλειας το μεταφέρει σε ολλανδική νομοθεσία. Εάν αυτή η υποχρέωση ισχύει για την ίδια την επιχείρηση, εξαρτάται από εάν η επιχείρηση εμπίπτει στην οδηγία NIS2 — αλλά ακόμα κι αν δεν ισχύει αυτή η υποχρέωση, ένας μεγαλύτερος πελάτης συχνά το ζητά ούτως ή άλλως, ως μέρος της δικής του αξιολόγησης της αλυσίδας εφοδιασμού. Το ISO/IEC 27001 το αναπτύσσει περαιτέρω στα μέτρα ελέγχου του Παραρτήματος A, όπου η διαχείριση διορθώσεων και η τεχνική διαχείριση ευπαθειών επανεμφανίζονται ως ξεχωριστό σημείο ελέγχου.