popis pitanja pita kako brzo provodimo sigurnosne ažuriranja

Politika zakrpa spada pod upravljanje ranjivostima, a ne pod odgovor na incidente

Pitanja o brzini ažuriranja i zakrpa odnosi se na proces upravljanja ranjivostima: kako brzo signaliziraš da je zakrpa dostupna i kako brzo je implementiraš. To je drugačiji proces od odgovora na incidente — instalacija zakrpe je preventivna, rukovanje incidentom je reaktivno. Kupci često postavljaju ova pitanja odvojena u istoj listi, i razumno je odgovoriti i na odvojena pitanja: tko miješa upravljanje ranjivostima s odgovorom na incidente, daje odgovor koji pri naknadnom upitu nije točan.

Konkretan dokaz za ovo pitanje obično je vremenska linija s rokovima po kategoriji rizika: kritične ranjivosti unutar X dana, visoki rizik unutar Y dana, i tako dalje — plus dnevnik koji pokazuje da se ti rokovi stvarno dostižu. Ako to nisi dokumentirao, tada je "ne" iskren odgovor na ovo pitanje, čak i ako zakrpe u praksi idu dovoljno brzo; nedokumentirana navika nije dokaziv proces. Povezani dio dosijera postupak za otkrivanje i ispravljanje ranjivosti je mjesto gdje to sljedeći put možeš pružiti. Obrati pažnju i na opseg pitanja: neki portali pitaju ovo samo za sustave koji obrađuju podatke kupaca, drugi za cijelo IT okruženje uključujući radna mjesta — to se razlikuje u onome što moraš moći pokazati.

Gdje to proizlazi: članak 21 stavak 2 i Prilog A

Članak 21 stavak 2 direktive NIS2 navodi upravljanje ranjivostima i rukovanje poznatim slabostima kao jednu od deset obaveznih mjera za subjekte koji spadaju pod direktivu; Zakon o kibernetskoj sigurnosti to implementira u nizozemsku regulativu. Je li ta obveza primjenjiva na samo poduzeće, ovisi o ili tvrtka spada pod NIS2 direktivu — ali čak i bez te obveze, veći kupac često ipak ovo pita kao dio svoje vlastite procjene lanca. ISO/IEC 27001 to dalje razrađuje pod kontrolama Priloga A, gdje se upravljanje zakrpama i tehnička kontrola ranjivosti pojavljuju kao odvojena kontrolna točka.