Η έρευνα ζητά πόσο γρήγορα εφαρμόζουμε ενημερώσεις και εμπλάκες

Η διαχείριση patches περιλαμβάνεται στην πολιτική ευπάθειας, όχι ξεχωριστά

Το ερώτημα σχετικά με το πόσο γρήγορα εφαρμόζονται ενημερώσεις και patches είναι μια υποερώτηση σε ένα ευρύτερο θέμα: τη διαδικασία εντοπισμού και αποκατάστασης των ευπαθειώνΈνας πελάτης που κάνει αυτό το ερώτημα θέλει να γνωρίζει εάν υπάρχει μια δομημένη διαδικασία — όχι απλώς εάν εγκαθίσταται ποτέ μια ενημέρωση. Συγκεκριμένα, συνήθως πρόκειται για τρία πράγματα: υπάρχει ένας σταθερός κύκλος (εβδομαδιαίος, μηνιαίος), γίνεται διάκριση ανάλογα με τη σοβαρότητα (μια κρίσιμη ευπάθεια γρηγορότερα από μια ρουτίνα ενημέρωση), και υπάρχει μια διαδικασία εξαίρεσης για συστήματα που δεν μπορούν να διορθωθούν άμεσα.

Εάν δεν υπάρχει σταθερή διαδικασία, το "προς καθορισμό" είναι η ειλικρινής απάντηση — όχι επειδή το θέμα είναι χωρίς σημασία, αλλά επειδή μια αξιόπιστη απάντηση απαιτεί ένα αποδεικτικό στοιχείο: μια πολιτική patch, ένα περίγραμμα χρόνων κύκλου ανά επίπεδο σοβαρότητας, ή ένα σύστημα ticketing που το καταχωρεί. Χωρίς τέτοιο στοιχείο, κάθε συγκεκριμένος αριθμός ("εντός 48 ωρών", "εντός 14 ημερών") δεν μπορεί να στηριχθεί προς τον πελάτη. Όποιος έχει αυτή τη διαδικασία αλλά δεν την έχει τεκμηριώσει, θα ήταν καλό να την καταγράψει πρώτα πριν επιβεβαιωθεί ως "ναι". Αυτό συχνά συνδέεται με την πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησηςχωρίς ένα τρέχον αρχείο των συστημάτων και συσκευών που υπάρχουν, δεν είναι δυνατό να προσδιοριστεί εάν όλα πραγματικά διορθώνονται.

Όπου αυτό αναφέρεται: άρθρο 21 παράγραφος 2 και Παράρτημα A

Η διαχείριση patches δεν είναι ένα ξεχωριστό νομικό έννοια, αλλά εμπίπτει στα μέτρα διαχείρισης ευπάθειας που αναφέρονται στο άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 (NIS2), όπου το "handling of vulnerabilities" είναι ένα από τα δέκα υποχρεωτικά μέτρα για τις οντότητες που υπόκεινται στην οδηγία. Στο ISO/IEC 27001 το ίδιο θέμα επιστρέφει στο Παράρτημα A, στις μέτρα ελέγχου για την τεχνική διαχείριση ευπάθειας. Και οι δύο πηγές δεν ζητούν μια συγκεκριμένη ταχύτητα, αλλά μια διαδικασία που λειτουργεί αποδεικτικά. Ο ολλανδικός Νόμος Κυβερνοασφάλειας το συμπληρώνει αργότερα. αναμένεται να τεθεί σε ισχύ στις 15 Αυγούστου 2026.