A kérdőív arra kérdez rá, hogy milyen gyorsan hajtjuk végre a biztonsági frissítéseket

A javítócsomag-politika a sebezhetőségi kezelés alá tartozik, nem az incidensválaszhoz

Az olyan kérdés, amely az új verziók és javítások sebességére vonatkozik, a sebezhetőségkezelési folyamatra vonatkozik: milyen gyorsan jelzed, hogy egy javítás rendelkezésre áll, és milyen gyorsan vezeted be azt. Ez egy másik folyamat, mint az incidensmegválaszolás — a javítás telepítése megelőző jellegű, az incidens kezelése reaktív. Az ügyfelek ezt gyakran külön kérdik egy listán belül, és célszerű külön válaszolni: aki a sebezhetőségkezelést az incidensmegválaszolással keveri, olyan választ ad, amely visszakérdezéskor nem helytálló.

A kérdésre vonatkozó konkrét bizonyíték általában egy ütemterv, amely kockázati kategóriánként meghatároz határidőket: kritikus sebezhetőségek X nap alatt, magas kockázat Y nap alatt, és így tovább — valamint egy napló, amely azt mutatja, hogy ezeket a határidőket ténylegesen tartják. Ha ezt nem dokumentáltad, akkor az "nem" a becsületes válasz erre a kérdésre, még akkor is, ha a javítások a gyakorlatban elég gyorsan haladnak; egy dokumentálatlan szokás nem igazolható folyamat. Az ehhez kapcsolódó dossziérészlet a folyamat a sebezhetőségek felderítésére és orvoslására arra a helyre, hogy legközelebb ezt ténylegesen be tudd nyújtani. Ügyelj a kérdés terjedelmére is: néhány portál ezt csak az ügyféladatokat feldolgozó rendszerekre kérdezi meg, mások az IT-teljes körűre, beleértve a munkahelyeket — ez jelentősen különbözik abban, hogy mit kell tudnod bemutatni.

ahol ez következik: 21. cikk (2) bekezdés és A melléklet

Az NIS2-irányelv 21. cikk (2) bekezdése az sérülékenységkezelést és az ismert gyenge pontok kezelését említi a szervezetekre vonatkozó tíz kötelező intézkedés egyikeként; a Kiberbiztonsági törvény ezt implementálja a holland jogszabályokba. Ez a kötelezettség az adott vállalkozásra vonatkozik-e, attól függ: vagy az entitás az NIS2-irányelv hatálya alá esik — azonban még e kötelezettség nélkül is egy nagyobb ügyfél gyakran ezt kéri, mint saját ellátási lánc értékelésének részeként. Az ISO/IEC 27001 ezt tovább fejleszti az Annex A kezelési intézkedéseiben, ahol a javítócsomag-kezelés és a technikai sebezhetőség-kezelés külön ellenőrzési pontként jelenik meg.