kyselylomake kysyy, kuinka nopeasti asennamme päivitykset, mitä täytän

Patchien deadline kuuluu haavoittuvuuksien hallintakäytäntöön, ei poikkeaman hallintaan

Kysymys päivitys- tai patchien asennusnopeudesta kuuluu haavoittuvuuksien hallintaprosessiin, joka on yksi kymmenen toimenpiteestä NIS2-direktiivin 21 artiklan 2 kohdassa. Asiakkaat kysyvät tätä yleensä konkreettisen aikarajan kanssa: "kriittisten patchien osalta 14 päivän sisällä" tai "korkean riskin osalta 30 päivän sisällä". Jos organisaatiossasi ei ole vakiintunutta aikarajaa vakavuustaso kohden, älä täytä sokaisesti jompaakumpaa näistä luvuista — kuvaile sen sijaan, mitä todella tapahtuu, esimerkiksi että patchit priorisoidaan CVSS-pisteen tai toimittajan suosituksen perusteella, ja että kriittiset haavoittuvuudet otetaan käyttöön säännöllisen ylläpitosyklin ulkopuolella.

Todisteet tästä ovat yleensä patchien hallintakäytäntö, jossa on kuvattu käytetyt aikarajat riskiluokkittain, sekä patchien rekisteristä tai lipputyövälineestä tehty ote, joka osoittaa, että nämä aikarajat todella saavutetaan. Jos jälkimmäinen puuttuu, prosessin kuvaus ilman mittauksia on parempi kuin täytetty aikaraja, jota et voi todentaa. Tämä aihe on päällekkäinen haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa — usein se on sama kysymys eri kyselylomakkeessa, joten tarkista, onko sinulla jo vastaus ketjutiedostossasi ennen kuin aloitat alusta.

Missä tämä on ISO 27001:ssä ja 21 artiklassa

ISO/IEC 27001:ssa patchien hallinta kuuluu Liitteen A hallintakeinoihin, jotka liittyvät teknisiin haavoittuvuuksiin; tarkastajat kyselevät yleensä dokumentoitua aikarajaa ja noudattamisen todistetta viimeisen ajanjakson osalta, eivät vain kirjallista käytäntöä. NIS2-direktiivissä ei ole kiinteää patchien aikarajaa — 21 artiklan 2 kohta mainitsee haavoittuvuuksien hallinnan pakollisena toimenpiteenä, mutta jättää täytäntöpanon entiteetin vastuulle. Jos odotusarvosi on, että kyberturvallisuuslaki omaksuu voimaantulonsa jälkeen 15. elokuuta 2026 konkreettisen aikarajan, tarkista se määritelmän viimeisen tekstin julkaisun yhteydessä; tällä hetkellä sitä ei ole vielä vahvistettu. Jos sinulla ei ole itse numeroiduja aikarajoja riskiluokkittain, tämä koskee myös kysymystä, pitääkö olemassa politiikka riskianalyyseille ja tietojärjestelmien turvaamisellekoska patchien priorisointiin sisältyy yleensä kyseinen riskianalyysi.