η λίστα ερωτήσεων ρωτά πόσο γρήγορα εγκαθιστούμε τοπλώματα, τι συμπληρώνω

Η προθεσμία διόρθωσης εμπίπτει στην πολιτική ευπάθειας, όχι στην ανταπόκριση συμβάντων

Το ερώτημα σχετικά με την ταχύτητα ενημέρωσης ή διόρθωσης σχετίζεται με τη διαδικασία διαχείρισης ευπαθειών, ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 NIS2. Οι πελάτες συνήθως ζητούν αυτό με συγκεκριμένη προθεσμία: «εντός 14 ημερών για κρίσιμες διορθώσεις» ή «εντός 30 ημερών για υψηλό κίνδυνο». Εάν ο οργανισμός σας δεν ακολουθεί σταθερή προθεσμία ανά επίπεδο σοβαρότητας, μην συμπληρώνετε τυφλά κάποιον από αυτούς τους αριθμούς — περιγράψτε τι συμβαίνει στην πράξη, για παράδειγμα ότι οι διορθώσεις προτεραιοποιούνται βάσει βαθμολογίας CVSS ή σύστασης προμηθευτή, και ότι κρίσιμες ευπάθειες αναπτύσσονται εκτός του κανονικού κύκλου συντήρησης.

Το απόδεικτικό στοιχείο γι' αυτό είναι συνήθως μια πολιτική διαχείρισης διορθώσεων με τις προθεσμίες που ακολουθούνται ανά κατηγορία κινδύνου, συν ένα απόσπασμα από το μητρώο διορθώσεων ή σύστημα εισιτηρίων που δείχνει ότι αυτές οι προθεσμίες τηρούνται πράγματι. Εάν λείπει το τελευταίο, τότε μια περιγραφή της διαδικασίας χωρίς μετρήσεις είναι καλύτερη από μια συμπληρωμένη προθεσμία που δεν μπορείτε να αποδείξετε. Αυτό το θέμα συμπεριλαμβάνεται με τη διαδικασία εντοπισμού και αποκατάστασης των ευπαθειών — συχνά είναι ο ίδιος ακριβώς ερώτημα σε άλλη ερωτηματολόγιο, γι' αυτό ελέγξτε αν έχετε ήδη μια απάντηση στο αρχείο αλυσίδας προτού ξεκινήσετε ξανά.

Πού υπάρχει αυτό στο ISO 27001 και στο άρθρο 21

Στο ISO/IEC 27001 η διαχείριση διορθώσεων εμπίπτει στα μέτρα ελέγχου του Παραρτήματος A που σχετίζονται με τεχνικές ευπάθειες· οι ελεγκτές συνήθως ζητούν τεκμηριωμένη προθεσμία και απόδεικτικά στοιχεία συμμόρφωσης για την τελευταία περίοδο, όχι μόνο την πολιτική στο χαρτί. Στο ίδιο το NIS2 δεν υπάρχει σταθερή προθεσμία διόρθωσης — το άρθρο 21 παράγραφος 2 αναφέρει τη διαχείριση ευπαθειών ως υποχρεωτικό μέτρο, αλλά αφήνει την εφαρμογή στο διακριτικό της οντότητας. Εάν αναμένετε ότι ο Νόμος Κυβερνοασφάλειας μετά την έναρξη ισχύος στις 15 Αυγούστου 2026 θα προβλέπει πραγματικά συγκεκριμένη προθεσμία, επαληθεύστε το κατά τη δημοσίευση του τελικού κειμένου· προς το παρόν δεν έχει καθοριστεί ακόμη. Εάν δεν έχετε ήδη αριθμημένες προθεσμίες ανά κατηγορία κινδύνου, αυτό σχετίζεται επίσης με το ερώτημα αν υπάρχει πολιτική για ανάλυση κινδύνου και προστασία συστημάτων πληροφοριών, επειδή η προτεραιοποίηση των διορθώσεων συνήθως βασίζεται σε αυτήν την ανάλυση κινδύνου.