Ar yra pažeidžiamumo aptikimo ir šalinimo procesas?

Jautrumų valdymas yra vienas iš dešimties priemonių

Taip, tai yra nuolatinis klausimas kiekvienoje NIS2 klausimyne, nes jautrumų politika yra atskirai išvardyta tarp dešimties priemonių pagal 21 straipsnio 2 dalį. Tikimasi proceso, kuris struktūriai nustatytų jautrumas programinėje įrangoje, sistemose ir tinkluose — per nuskaitymus, tiekėjų pranešimus ar grėsmės analitikos duomenis — ir nustatytų laiką, per kurį atliekama pataisyba arba trumpalaikis sprendimas, atsižvelgiant į pavojingumą. Vienas antiviruso sprendimas arba periodiškas atnaujinimas nėra atsakas į šį klausimą; klausiama apie procesą, o ne apie priemonę.

Kaip įrodymą gali būti priimtas: procedūra arba politikos dokumentas su skenavimo dažnumu, pataisų terminais pagal rizikos klasę ir atsakinga pareigybė. Jei to nėra, tada "ne" arba "iš dalies" yra sąžiningas atsakymas — atskira priemonės konfigūracija be joje nustatyto proceso nepakanka. Klientai dažnai klausia apie tai kartu su klausimu ar yra procedūra saugumo incidentams tvarkyti, nes praleista pataisyba dažnai yra incidento priežastis. Taip pat jautrumų valdymas kartais siejamas su klausimu ar priemonių veiksmingumas periodiškai patikrintas, nes skenavimo procesas be patikrinimo, ar sekama jo eiga, iš praktikos yra tik popierinė procedūra.

Tai nurodyta direktyvoje: 21 straipsnio 2 dalis

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalis tiesiogiai vadina "vulnerabilities handling" kaip vieną iš dešimties priemonių, kurias turi imtis subjektai kaip rizikos valdymo priemones. Pati direktyva nenustato skenavimo dažnio ar taisymo termino — toks detalumas paliekamas kiekvieno subjekto rizikos analizei ir, jei taikoma, sektoriaus ar nacionaliniams nustatyimams. Klausimynas, kuriame klausiama konkretaus skaičiaus (pavyzdžiui, "kritiniai pataisai per X dienų"), tikrina tik užsakovo nustatytą normą, o ne NIS2 minimumą. Pildydami, atkreipkite dėmesį į skirtumą tarp "turime procesą" ir "visada pasiekiame savo terminą" — tai du skirtingi atsakymai į du skirtingus klausimus, net jei klausimynas juos sujungia.