lista kontrolna pyta o naszą politykę łatania aktualizacji oprogramowania

Polityka łatania wchodzi w zakres zarządzania lukami w zabezpieczeniach, a nie w zakres reagowania na incydenty

Pytanie dotyczące polityki łatania należy do procesem identyfikacji i usuwania podatności, a nie do reagowania na incydenty. Klienci chcą wiedzieć, czy aktualizacje są systematycznie i na czas wdrażane, z rozróżnieniem między łatami krytycznymi (często w ciągu kilku dni) a regularnymi aktualizacjami (często w ramach stałego cyklu tygodni). Odpowiedź stwierdzająca jedynie "regularnie aktualizujemy" jest zbyt vaga; zwykle oczekuje się konkretnych terminów dla każdej klasy ryzyka oraz informacji o tym, kto odpowiada za wdrażanie i kontrolę.

Jeśli nie masz ustalonych terminów, prawidłową odpowiedzią jest "nie", nawet jeśli w praktyce aplikujesz poprawki szybko. Procedura, która istnieje tylko w czyjejś głowie, nie jest polityką, którą możesz wykazać. Często w tej samej liście pytane jest również, czy ta polityka stosowania poprawek stanowi część szerszego procesu analizy ryzyka — jeśli już istnieje dla niego ustalona polityka, możesz politykę stosowania poprawek włączyć jako jej część zamiast dokumentować ją oddzielnie. Zwróć też uwagę na zakres pytania: czy dotyczy to twojej własnej infrastruktury, produktów, które dostarczasz, czy obu. To określa, czy dowód jest wewnętrznym dokumentem polityki, czy notą wydania skierowaną do klientów.

Powołując się na artykuł 21 ust. 2 dyrektywy NIS2

Zarządzanie lukami w zabezpieczeniach i ich usuwanie (obsługa i ujawnianie) wymieniane są jako odrębny środek w artykule 21 ust. 2 dyrektywy (UE) 2022/2555, obok praktyk podstawowych cyberhigieny. Polityka łatania jest operacyjnym wdrożeniem tego środka. W ISO/IEC 27001 pojawia się to w Załączniku A, wśród środków kontroli do zarządzania lukami technicznymi w zabezpieczeniach, gdzie harmonogram łatania jest wyraźnie wymieniony jako kontrola. Zgodnie z Ustawa o cyberbezpieczeństwie, holenderskim wdrożeniem NIS2, wymóg ten wchodzi w życie w dniu 15 sierpnia 2026 r. dla podmiotów objętych ustawą.