lista de perguntas questiona nossa política de patch para atualizações de software

A política de patches enquadra-se na gestão de vulnerabilidades, não na resposta a incidentes

A pergunta sobre política de patches pertence a o processo de deteção e correção de vulnerabilidades, não à resposta a incidentes. Os clientes querem saber se as atualizações são implementadas estruturalmente e em tempo útil, com uma distinção entre patches críticos (frequentemente em dias) e atualizações regulares (frequentemente dentro de um ciclo fixo de semanas). Uma resposta que apenas diz "atualizamos regularmente" é demasiado vaga; geralmente é solicitado um prazo concreto por classe de risco e informação sobre quem é responsável pela execução e controlo dessa implementação.

Se não tem prazos documentados, então "não" é a resposta honesta, mesmo que na prática faça patches rapidamente. Um procedimento que existe apenas na cabeça de alguém não é uma política que possa demonstrar. Frequentemente, a mesma lista também pergunta se esta política de patches faz parte de um processo mais amplo de análise de risco — se já existe uma política documentada para isso, pode incluir a política de patches como parte integrante em vez de a documentar separadamente. Preste também atenção ao âmbito da pergunta: refere-se à sua própria infraestrutura, aos produtos que fornece, ou a ambos. Isto determina se o seu documento de prova é uma política interna ou uma nota de versão dirigida aos clientes.

Rastreável até ao artigo 21.º, n.º 2, da NIS2

A gestão de vulnerabilidades e a sua remediação (tratamento e divulgação) é mencionada como uma medida separada no artigo 21.º, n.º 2, da Diretiva (UE) 2022/2555, paralelamente às práticas básicas de ciberhigiene. A política de patches é a implementação operacional dessa medida. Na ISO/IEC 27001, isto aparece no Anexo A, sob as medidas de controlo para gestão técnica de vulnerabilidades, onde o calendário de patches é explicitamente mencionado como um controlo. Sob a Lei de Segurança Cibernética, a transposição holandesa da NIS2, este requisito entra em vigor em 15 de agosto de 2026 para as entidades abrangidas pela lei.