lista kontrolna pyta, jak szybko wdrażamy aktualizacje i poprawki

Zarządzanie łatami wchodzi w skład polityki dotyczącej luk w zabezpieczeniach, nie stanowi osobnego zagadnienia

Pytanie dotyczące szybkości wdrażania aktualizacji i łat jest pytaniem cząstkowym w ramach szerszego tematu: procesem identyfikacji i usuwania podatnościKlient zadający to pytanie chce wiedzieć, czy istnieje ustrukturyzowany proces — nie tylko czy kiedykolwiek zainstalowana zostanie aktualizacja. Konkretnie chodzi zwykle o trzy rzeczy: czy istnieje stały cykl (cotygodniowo, co miesiąc), czy dokonywane jest rozróżnienie ze względu na stopień ważności (lukę krytyczną łatę się szybciej niż rutynową aktualizację), oraz czy istnieje proces wyjątkowy dla systemów, które nie mogą być natychmiast zastosowane łatą.

Jeśli nie ma ustalonego procesu, "jeszcze do określenia" jest uczciwą odpowiedzią — nie dlatego, że temat jest nieważny, ale dlatego, że wiarygodna odpowiedź wymaga dokumentu potwierdzającego: polityki zarządzania łatami, przeglądu czasów wykonania dla każdego poziomu ważności lub systemu zgłoszeń, który to rejestruje. Bez takiego dokumentu każda konkretna liczba ("w ciągu 48 godzin", "w ciągu 14 dni") nie może być uzasadniona wobec klienta. Ci, którzy mają ten proces, ale nie udokumentowali go, powinni najpierw go opisać na papierze, zanim będzie potwierdzony jako "tak". Często wiąże się to z polityki dostępu i zarządzania zasobami przedsiębiorstwaBez aktualnego przeglądu tego, jakie systemy i urządzenia istnieją, nie można ustalić, czy wszystko zostało rzeczywiście zastosowane łatą.

Gdzie na to się powołuje: artykuł 21 ust. 2 i Załącznik A

Zarządzanie łatami nie jest osobnym terminem prawnym, ale wchodzi w zakres środków dotyczących zarządzania lukami w zabezpieczeniach wymienionych w artykule 21 ust. 2 Dyrektywy (UE) 2022/2555 (NIS2), w której "handling of vulnerabilities" jest jednym z dziesięciu obowiązkowych środków dla podmiotów objętych dyrektywą. W ISO/IEC 27001 ten sam temat pojawia się ponownie w Załączniku A, w obrębie środków kontroli dotyczących technicznego zarządzania lukami w zabezpieczeniach. Obie źródła nie wymagają określonej szybkości, ale wymagają procesu, który wykazywałnie działa. Holenderska Ustawa o bezpieczeństwie cybernetycznym uzupełni to później; ma wejść w życie w dniu 15 sierpnia 2026 roku.