a kérdőív az utánzások szoftverfrissítésekre vonatkozó irányelvére kérdez rá

A javítócsomag-politika a sebezhetőségi kezelés alá tartozik, nem az incidensválaszhoz

A javítócsomag-politikára vonatkozó kérdés a a sebezhetőségek felderítésére és elhárítására irányuló folyamattal-hez tartozik, nem az incidensválaszhoz. Az ügyfelek azt szeretnék tudni, hogy a frissítéseket strukturáltan és időben vezeti-e ki, meg kell különböztetni a kritikus javítócsomag-csomagokat (gyakran napok alatt) és a rendszeres frissítéseket (gyakran egy rögzített hetekben mért cikluson belül). Az olyan válasz, amely csak azt mondja, hogy »rendszeresen frissítünk«, túl homályos; általában konkrét határidőre van szükség a kockázati osztályonként és arra, hogy ki felelős a végrehajtásért és az ellenőrzésért.

Ha nincsenek rögzített határidőid, akkor az »nem« a tisztességes válasz, még akkor is, ha a gyakorlatban gyorsan javítasz. Az egy ember fejében csak létező eljárás nem olyan politika, amelyet be tudsz bizonyítani. Gyakran ugyanabban a listában azt is megkérdezik, hogy ez a javítócsomag-politika része-e egy szélesebb körű kockázatértékelési folyamatnak — ha már rögzített politika létezik erre, akkor a javítócsomag-politikát annak részeként foglalhatod bele ahelyett, hogy külön dokumentálnád. Ügyelj a kérdés hatóköre is: saját infrastruktúrádra, az általad szállított termékekre vagy mindkettőre vonatkozik-e. Ez határozza meg, hogy a bizonyító dokumentum egy belső politikadokumentum vagy az ügyfelekhez intézett kiadási megjegyzés-e.

Az Richtlinie (EU) 2022/2555 21. cikk 2. bekezdésére vezethető vissza

A sebezhetőségi kezelés és annak orvoslása (kezelés és közzététel) külön intézkedésként szerepel az (EU) 2022/2555. számú irányelv 21. cikk 2. bekezdésében, a kiberbiztonsági alapvető gyakorlatok mellett. A javítócsomag-politika ennek az intézkedésnek az operatív megvalósítása. Az ISO/IEC 27001-ben ez visszatér az Annex A-ban, a technikai sebezhetőségi kezelésre vonatkozó ellenőrzési intézkedések között, ahol a javítócsomag időzítése explicit ellenőrzésként szerepel. A Kiberbiztonsági törvény, amely a NIS2 holland átalakítása, 2026. augusztus 15-én lép érvénybe a törvény hatálya alá tartozó entitások számára.