Hemm proċess biex tiġi rikonoxxuta u kkonfruntata l-vulnerabilità?

Vulnerability management hija waħda mill-għaxar miżuri

Iva, din hija mistoqsija fissa f'kull lista tal-mistoqsija NIS2, għaliex il-politika tal-kwetsbarheden hija elencata bħala parti separata fost il-għaxar miżuri ta' artikolu 21(2). It-tisttennija hija li jkun hemm proċess li jsib b'mod strutturali vulnerabilità f'software, sistemi u netwerks — permezz ta' scanners, notifiki minn fornituri jew threat intelligence — u li jiddeċiedi fi żmien kemm jitħajjar patch jew workaround, skond is-serjetà. Soluzzjoni ta' antivirus singola jew aġġornament okkażjonali mhuwiex risposta għal din il-mistoqsija; dak li jintlob huwa l-proċess, mhux l-għodda.

Dak li jgħodd bħala prova: dokument ta' proċedura jew politika b'frekwenza ta' scanning, termini ta' patch skond klassi ta' riskju, u funzjoni responsabbli. Jekk dan nieqes, "le" jew "parzjalment" huwa l-risposta onesta — konfigurazzjoni ta' għodda nnifisha mingħajr proċess wara ma tkunx biżżejjed. Klijenti jistoqsu dan ħafna drabi flimkien mal-mistoqsija jekk hemm proċedura għall-ġestjoni ta' inċidenti tas-sigurezza, għaliex patch imwaħħal spiss huwa l-kawża ta' inċident. Vulnerability management jiġi konnettjat ukoll mal-mistoqsija jekk l-effettività tal-miżuri tiġi ttestjata perjodikament, għaliex proċess ta' scanning mingħajr kontroll fuq is-segwitu huwa fil-prattika proċess ta' karta.

Fejn jinsabu dan fil-Ġurisdizzjoni: artikolu 21(2)

Artikolu 21(2) ta' Ħarsa Direttiva (EU) 2022/2555 tisemmi "handling of vulnerabilities" b'mod espliċitu bħala waħda mill-għaxar miżuri li taħt il-miżuri ta' ġestjoni tar-riskju li għandhom jittieħdu mill-entitajiet. Id-Direttiva nnifisha ma tispeċifikax frekwenza ta' scanning jew termini ta' patch — dan il-livell ta' dettall jitlef lill-analiżi tar-riskju tagħhom stess u, fejn applikabbli, lill-implementazzjoni setturali jew nazzjonali. Lista ta' mistoqsija li tistqarr numru konkret (pereżempju "patches kritiċi fi żmien X jiem"), teżamina standard proprja tal-inkwirenti, mhux minimu NIS2. Meta timla, ħu kont tad-distinzjoni bejn "għandna proċess" u "aħna dejjem nilħqu l-iskadenza tagħna" — dawn huma żewġ risposti differenti għal żewġ mistoqsijiet differenti, anki jekk il-lista ta' mistoqsija tgħaqqadhom.