klausimynas klausia, kaip greitai įdiegiame pataisas, ką įveiksiu

Patcho terminai patenka į pažeidžiamumo politiką, o ne į incidento reagavimo procesą

Klausimas apie atnaujinimo ar pataisymo greitį priklauso pažeidžiamumo valdymo procesui, vienam iš dešimties priemonių, nurodytų NIS2 direktyvos 21 straipsnio 2 dalyje. Klientai paprastai tai klausia su konkrečiu terminu: „per 14 dienų kritiniams pataisymams

Įrodymas paprastai yra pataisų valdymo politika, kurioje nurodomi taikymo terminai pagal rizikos klasę, ir išrašas iš pataisų registro arba kvitų sistemos, rodantis, kad tie terminai iš tikrųjų yra laikomasi. Jei pastarasis trūksta, proceso aprašymas be matavimų yra geresnis nei užpildytas terminas, kurio negalima pagrįsti. Šis klausimas sutampa su pažeidžiamumų nustatymo ir šalinimo procesą — dažnai tai yra tas pats klausimas kitame klausimyne, todėl prieš pradėdami iš naujo patikrinkite, ar jau turite atsakymą savo veiklos dossiere.

Kur tai yra ISO 27001 ir straipsnyje 21

ISO/IEC 27001 standarte programų atnaujinimų valdymas priklauso techniniam priežiūrai skirtoms kontrolės priemonėms, nurodytoms A priede, kurie susijusios su techniniais pažeidžiamumais; auditai paprastai klausia apie dokumentuotą terminą ir įrodymą apie jo laikymąsi per paskutinį laikotarpį, o ne tik apie politiką popierinėje formoje. Pačioje NIS2 direktyvoje nenustatyta fiksuota programų atnaujinimų laiko riba — straipsnis 21 dalies 2 nustato pažeidžiamumo valdymą kaip privalomą priemonę, bet jo įgyvendinimą palinka entitetui. Jei tikitės, kad Kibernetinio saugumo įstatymas po jo įsigaliojimo 2026 m. rugpjūčio 15 d. vis dėlto nustatys konkretų terminą, patikrinkite tai publikuojant galutinį tekstą; šiuo metu tai dar nėra nustatyti. Jei pats dar neturi numeruotų terminų pagal rizikos klasę, tai taip pat liečia klausimą, ar yra rizikos analizės ir informacijos sistemų saugumo politika, nes pataisų prioretizavimas paprastai grindžiamas ta rizikos analize.