kyselylomake kysyy ohjelmistopäivitysten korjauspolitiikastamme

Päivityskäytäntö kuuluu haavoittuvuuksien hallintaan, ei häiriöihin reagoimiseen

Kysymys päivityskäytännöstä kuuluu haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssaei häiriöihin reagoimiseen. Asiakkaat haluavat tietää, jaetaanko päivitykset järjestelmällisesti ja oikea-aikaisesti, erotellen kriittiset korjaukset (usein muutamassa päivässä) säännöllisistä päivityksistä (usein säännöllisen viikon tai kahden keston mukaan). Vastaus, joka vain sanoo "päivitämme säännöllisesti", on liian epämääräinen; tavallisesti kysytään konkreettista aikarajaa riskiluokkaa kohti ja sitä, kuka vastaa toteutuksesta ja valvonnasta.

Jos sinulla ei ole kirjattuja aikarajoja, "ei" on rehellinen vastaus, vaikka patjaisit käytännössä nopeasti. Menettely, joka on vain jonkun mielessä, ei ole politiikkaa, jota voit osoittaa. Samassa luettelossa usein kysytään myös, kuuluuko tämä päivityskäytäntö laajempaan riskianalyysin prosessiin — jos siihen on jo dokumentoitu politiikka, voit sisällyttää päivityskäytännön osaksi sitä erillisen dokumentoinnin sijaan. Huomio myös kysymyksen laajuus: koskeeko se omaa infrastruktuuria, toimittamiasi tuotteita vai molempia. Se määrää, onko todisteaineistosi sisäinen politiikkadokumentti vai julkaisu-ilmoitus asiakkaille.

Vedottavissa artiklan 21 kappaleen 2 NIS2 perusteella

Haavoittuvuuksien hallinta ja niiden korjaaminen (käsittely ja paljastaminen) mainitaan erillisenä toimenpiteenä direktiivin (EU) 2022/2555 artiklan 21 kappaleen 2 mukaisesti rinnakkain kybernetisen hygieenan peruskäytäntöjen kanssa. Päivityskäytäntö on kyseisen toimenpiteen operatiivinen toteutus. ISO/IEC 27001:ssä tämä palautuu Annex A:lle tekniikan haavoittuvuuksien hallinnan kontrolleissa, joissa korjausten ajoitus mainitaan eksplisiittisesti kontrollina. Kyberturvallisuuslaissa, Alankomaiden NIS2-säädöksessä, tämä vaatimus tulee voimaan 15. elokuuta 2026 lain piiriin kuuluville yksiköille.