lista kontrolna pyta, jak szybko wdrażamy aktualizacje bezpieczeństwa

Polityka łatania wchodzi w zakres zarządzania lukami w zabezpieczeniach, a nie w zakres reagowania na incydenty

Pytanie dotyczące szybkości aktualizacji i poprawek dotyczy procesu zarządzania lukami w zabezpieczeniach: jak szybko sygnalizujesz, że poprawka jest dostępna, i jak szybko ją wdrażasz. To inny proces niż reagowanie na incydenty — instalacja poprawki ma charakter prewencyjny, obsługa incydentu ma charakter reaktywny. Klienci często pytają o to osobno w tej samej liście, i rozsądnie jest również odpowiadać osobno: kto mieszał zarządzanie lukami w zabezpieczeniach z reagowaniem na incydenty, daje odpowiedź, która przy dalszych pytaniach się nie sprawdza.

Konkretnym dowodem do tego pytania jest zwykle oś czasowa z terminami dla każdej kategorii ryzyka: krytyczne luki w zabezpieczeniach w ciągu X dni, wysokie ryzyko w ciągu Y dni i tak dalej — plus dziennik, który pokazuje, że te terminy zostały faktycznie osiągnięte. Jeśli tego nie udokumentowałeś, to "nie" to szczera odpowiedź na to pytanie, nawet jeśli poprawki w praktyce wdrażane są wystarczająco szybko; niedokumentowany zwyczaj to nie udowodniony proces. Powiązana część dossier na temat proces wykrywania i usuwania luk w bezpieczeństwie to miejsce, w którym będziesz w stanie to dostarczyć następnym razem. Zwróć również uwagę na zakres pytania: niektóre portale pytają o to tylko w odniesieniu do systemów przetwarzających dane klientów, inne w odniesieniu do pełnego środowiska IT obejmującego stanowiska robocze — to znacznie zmienia to, co musisz być w stanie wykazać.

Gdzie to wynika: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia zarządzanie lukami w zabezpieczeniach i postępowanie ze znanymi słabościami jako jeden z dziesięciu obowiązkowych środków dla podmiotów objętych dyrektywą; Ustawa o cyberbezpieczeństwie implementuje to w prawie holenderskim. To, czy obowiązek ten dotyczy samego przedsiębiorstwa, zależy od czy organizacja jest objęta dyrektywą NIS2 — ale nawet bez tego obowiązku większy klient często pyta o to i tak, jako część swojej własnej oceny łańcucha. ISO/IEC 27001 rozwija to dalej w ramach kontroli z Załącznika A, gdzie zarządzanie poprawkami i techniczne zarządzanie lukami w zabezpieczeniach pojawiają się jako osobny punkt kontrolny.