la liste de questions demande à quelle vitesse nous déployons les mises à jour de sécurité

La politique de correctifs relève de la gestion des vulnérabilités, non de la réponse aux incidents

La question concernant la rapidité des mises à jour et des correctifs porte sur le processus de gestion des vulnérabilités : comment signalez-vous qu'une correctif est disponible, et à quelle vitesse la déployez-vous. C'est un processus différent de la réponse aux incidents — installer une correctif est une mesure préventive, gérer un incident est une mesure réactive. Les clients posent souvent cette question indépendamment de l'autre dans la même liste, et il est judicieux de répondre aussi indépendamment : celui qui mélange la gestion des vulnérabilités avec la réponse aux incidents fournit une réponse qui ne sera pas correcte lors d'un suivi.

La preuve concrète pour cette question est généralement une chronologie avec des délais par catégorie de risque : vulnérabilités critiques dans un délai de X jours, risque élevé dans un délai de Y jours, et ainsi de suite — plus un journal qui montre que ces délais sont effectivement respectés. Si tu n'as pas documenté cela, alors « non » est la réponse honnête à cette question, même si les correctifs vont assez vite en pratique ; une habitude non documentée n'est pas un processus démontrable. La partie correspondante du dossier sur un processus de détection et de correction des vulnérabilités est l'endroit pour pouvoir le fournir la prochaine fois. Fais également attention au champ d'application de la question : certains portails ne posent cette question que pour les systèmes qui traitent les données clients, d'autres pour l'ensemble de l'environnement informatique, y compris les postes de travail — ce qui change considérablement ce que tu dois pouvoir démontrer.

D'où cela découle : article 21 paragraphe 2 et Annexe A

L'article 21 paragraphe 2 de la directive NIS2 mentionne la gestion des vulnérabilités et la gestion des faiblesses découvertes comme l'une des dix mesures obligatoires pour les entités relevant de la directive ; la Loi sur la cybersécurité transpose cela dans la réglementation néerlandaise. Le fait que cette obligation s'applique à l'entreprise elle-même dépend de si l'entreprise relève de la directive NIS2 — mais même sans cette obligation, un client plus grand pose souvent cette question de toute façon, dans le cadre de sa propre évaluation de la chaîne. ISO/IEC 27001 développe cela davantage dans les mesures de contrôle de l'Annexe A, où la gestion des correctifs et la gestion technique des vulnérabilités réapparaissent comme points de contrôle séparés.