klausimas paklausimas, kaip greitai mes įgyvendinome saugos atnaujinimus

Atnaujinimo politika priklauso pažeidžiamumo valdymui, o ne incidentų reagavimui

Klausimas apie atnaujinimų ir pataisų greitį susijęs su pažeidžiamumo valdymo procesu: kaip greitai pranešate, kad yra pasiekiama pataiša, ir kaip greitai ją diegiate. Tai yra kitoks procesas nei incidentų atsako — pataisos diegimas yra prevencinės priemonės, o incidento tvarkymas yra reaktyvus veiksmas. Klientai šiuos klausimus dažnai klausia atskirai viename sąraše ir protinga yra atsakyti taip pat atskirai: kas sumaišo pažeidžiamumo valdymą su incidentų atsaku, duoda atsakymą, kuris papildomai patikrintas nebus teisingas.

Konkretus šio klausimo įrodymas paprastai yra laiko grafikas su terminais pagal rizikos kategoriją: kritinės pažeidžiamumos per X dienų, aukšta rizika per Y dienų ir taip toliau — plius žurnalas, rodantis, kad šie terminai iš tikrųjų yra einami. Jei to nepažymėjote, tada sąžiningas atsakymas į šį klausimą yra „ne procesas nustatyti ir ištaisyti pažeidžiamumus ,

Iš to kyla: 21 straipsnio 2 dalis ir A priedas

21 straipsnio 2 dalis iš NIS2 direktyvos nurodo pažeidžiamumo valdymą ir žinomų silpnybių tvarką kaip vieną iš dešimties privalomų priemonių objektams, kurie patenka į direktyvos taikymo sritį; Kibernetinio saugumo įstatymas tai perkelią į Nyderlandų teisės aktus. Ar ši prievolė taikoma pačiai bendrovei, priklauso nuo ar įmonė patenka į NIS2 direktyvos taikymo sritį — bet ir be tos prievolės, didesnis klientas tai dažnai paklausą vis tiek, kaip savo tiekimo grandinės vertinimo dalis. ISO/IEC 27001 tai toliau išvysto pagal A priedo kontrolės priemones, kur pataisų valdymas ir techninės pažeidžiamumo kontrolė reikalingi atsiranda kaip atskiras kontrolės punktas.