Υπάρχει διαδικασία για τον εντοπισμό και τη διόρθωση αδυναμιών;

Το vulnerability management είναι ένα από τα δέκα μέτρα

Ναι, πρόκειται για μια σταθερή ερώτηση σε κάθε ερωτηματολόγιο NIS2, διότι η πολιτική κατά των ευπαθειών αποτελεί ξεχωριστό τμήμα μεταξύ των δέκα μέτρων του άρθρου 21 παράγραφος 2. Αναμένεται μια διαδικασία που ανιχνεύει δομικά ευπάθειες σε λογισμικό, συστήματα και δίκτυα — μέσω σαρώσεων, ειδοποιήσεων από προμηθευτές ή threat intelligence — και που καθορίζει την προθεσμία εντός της οποίας εφαρμόζεται μια διόρθωση ή μια λύση, ανάλογα με τη σοβαρότητα. Μια μόνο λύση antivirus ή μια περιστασιακή ενημέρωση δεν αποτελεί απάντηση σε αυτήν την ερώτηση· ζητείται η διαδικασία, όχι το εργαλείο.

Ως απόδειξη ισχύει: ένα έγγραφο διαδικασίας ή πολιτικής με συχνότητα σάρωσης, προθεσμίες εφαρμογής διορθώσεων ανά κατηγορία κινδύνου και μια υπεύθυνη λειτουργία. Αν λείπει αυτό, τότε το «όχι» ή το «εν μέρει» είναι η ειλικρινής απάντηση — μια απλή ρύθμιση εργαλείου χωρίς διαδικασία δεν αρκεί. Οι πελάτες κάνουν συχνά αυτήν την ερώτηση σε συνδυασμό με την ερώτηση αν υπάρχει διαδικασία για το χειρισμό περιστατικών ασφάλειας, διότι μια χαμένη διόρθωση είναι συχνά η αιτία ενός περιστατικού. Το vulnerability management αναφέρεται επίσης μερικές φορές στην ερώτηση αν η αποτελεσματικότητα των μέτρων ελέγχεται περιοδικά, διότι ένας σαρωτικός διαδικασίας χωρίς έλεγχο της παρακολούθησης είναι στην πράξη ένα έγγραφο διαδικασία.

Όπου βρίσκεται αυτό στην Οδηγία: άρθρο 21 παράγραφος 2

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει ρητά το «handling of vulnerabilities» ως ένα από τα δέκα μέτρα που εμπίπτουν στα μέτρα διαχείρισης κινδύνου που πρέπει να λάβουν οι οντότητες. Η ίδια η Οδηγία δεν προβλέπει συχνότητα σάρωσης ή προθεσμία διόρθωσης — αυτό το επίπεδο λεπτομέρειας αφήνεται στην ίδια ανάλυση κινδύνου και, όπου ισχύει, στη διαφοροποίηση ανά κλάδο ή κατά το εθνικό δίκαιο. Ένα ερωτηματολόγιο που ζητά ένα συγκεκριμένο αριθμό (για παράδειγμα «κρίσιμες διορθώσεις εντός X ημερών»), δοκιμάζει λοιπόν ένα δικό του πρότυπο, όχι ένα ελάχιστο NIS2. Κατά τη συμπλήρωση προσέξτε τη διάκριση μεταξύ «έχουμε μια διαδικασία» και «πάντα πληρούμε τη δική μας προθεσμία» — είναι δύο διαφορετικές απαντήσεις σε δύο διαφορετικές ερωτήσεις, ακόμα κι αν το ερωτηματολόγιο τις συγχωνεύει.