küsimustik küsib, kui kiiresti me paigaldame plaaste, mida ma täidan

Paranduste tähtaeg kuulub haavatavuste politiika alla, mitte juhtumite reageerimise alla

Uuenduste või paranduste kiiruse järele tehtavad päringud kuuluvad haavatavuste juhtimise protsessi, mis on üks kümnest meetmest artikli 21 lõike 2 NIS2 kohaselt. Kliendid esitavad selle küsimuse tavaliselt konkreetse tähtajaga: "14 päeva jooksul kriitiliste paranduste korral" või "30 päeva jooksul kõrge riskitaseme korral". Kui teie organisatsioon ei rakenda igal riskitasandil kindlat tähtaega, siis ärge täitke pimesi ühte neist arvudest — kirjeldage, mis tegelikult toimub, näiteks et parandused prioriseeritakse CVSS-skoori või tarnija soovituse alusel ja et kriitilised haavatavused juurutatakse väljaspool regulaarset hooldustsüklit.

Tõenduseks on tavaliselt paranduste juhtimise poliitika, milles on märgitud riski klassi kaupa rakendatavad tähtajad, pluss paranduste registrist või piletisüsteemist tehtud väljavõte, mis näitab, et neid tähtaegu järgitakse ka tegelikult. Kui viimane puudub, siis on protsessi kirjeldus mõõtmisteta parem kui tähtaja sisestamine, mida te ei saa tõestada. See teema kattub protsess haavatavuste tuvastamiseks ja parandamiseks — sageli on see üks ja sama küsimus erinevas küsimustikus, nii et kontrollige, kas teil on ketendossieeris juba vastus olemas, enne kui alustute uuesti.

Kus see ISO 27001-s ja artikli 21 osas asub

ISO/IEC 27001-is kuulub plaasterdehaldus Lisas A olevate kontrollmeetmete hulka, mis käsitlevad tehnilisi nõrkusi; audiitorid küsivad tavaliselt dokumenteeritud tähtaega ja nõustumise tõendeid viimase perioodi jooksul, mitte ainult paberit poliitikat. NIS2-s endas pole fikseeritud paasitermini — artikli 21 lõike 2 mainitakse haavatavuste juhtimist kohustusliku meetmena, kuid jätab rakendamise üksusele. Kui ootad, et küberjulgeoleku seadus pärast selle jõustumist 15. augustil 2026 säteestab konkreetse tähtaja, siis kontrolli seda lõpliku teksti avaldamisel; praegu pole see veel määratud. Kui sul endal pole veel nummerdatud tähtaegu riskiklassi kohta, siis see puudutab ka küsimust, kas riski- ja infoturbesüsteemide analüüsimiseks on poliitika olemaskuna paasituste prioriseerimise aluseks on tavaliselt see riskianalüüs.