chestionar întreabă cât de repede aplicăm actualizări de securitate

Politica de patch-uri face parte din gestionarea vulnerabilităților, nu din răspunsul la incidente

Întrebarea despre viteza actualizărilor și a patch-urilor se referă la procesul de management al vulnerabilităților: cum semnalizezi rapid că un patch este disponibil și cum îl implementezi rapid. Acesta este un proces diferit de răspunsul la incidente — instalarea unui patch este preventivă, gestionarea unui incident este reactivă. Clienții pun adesea această întrebare separat în aceeași listă, și este recomandabil să răspunzi și tu separat: cel care amestecă managementul vulnerabilităților cu răspunsul la incidente dă un răspuns care, la investigare, nu este corect.

Dovada concretă pentru această întrebare este de obicei o cronologie cu termene pentru fiecare categorie de risc: vulnerabilități critice în termen de X zile, risc ridicat în termen de Y zile, și așa mai departe — plus un jurnal care arată că aceste termene sunt într-adevăr respectate. Dacă nu ai documentat aceasta, atunci "nu" este răspunsul corect la această întrebare, chiar dacă patch-urile merg suficient de rapid în practică; o obicei nedocumentată nu este un proces demonstrabil. Secțiunea corespunzătoare din dosar privind a process for identifying and remedying vulnerabilities este locul în care poți furniza aceasta data viitoare. Ține cont și de domeniul de aplicare al întrebării: unele portaluri pun această întrebare doar pentru sistemele care procesează date ale clienților, altele pentru întregul mediu IT, inclusiv posturile de lucru — aceasta face o diferență semnificativă în ceea ce trebuie să poți demonstra.

Unde reiese din aceasta: articolul 21 alineatul (2) și Anexa A

Articolul 21 alineatul (2) al Directivei NIS2 enumeră managementul vulnerabilităților și gestionarea punctelor slabe cunoscute ca una dintre cele zece măsuri obligatorii pentru entitățile care cad sub incidența directivei; Legea pentru securitate cibernetică implementează aceasta în legislația olandeză. Dacă această obligație se aplică întreprinderii în sine depinde de dacă întreprinderea cade sub directiva NIS2 — dar chiar și fără această obligație, un client mai mare pune adesea această întrebare, ca parte a propriei sale evaluări a lanțului. ISO/IEC 27001 elaborează aceasta mai departe sub măsurile de control din Anexa A, unde managementul patch-urilor și gestionarea tehnică a vulnerabilităților revin ca punct de control separat.