chestionarul întreabă despre politica noastră de corectare pentru actualizări de software

Politica de patch-uri face parte din gestionarea vulnerabilităților, nu din răspunsul la incidente

Cererea privind politica de patch-uri aparține de procesul de detectare și remediere a vulnerabilităților, nu de răspunsul la incidente. Clienții doresc să știe dacă actualizările sunt implementate în mod structurat și la timp, cu o distincție între patch-urile critice (adesea în decurs de zile) și actualizările obișnuite (adesea în decurs de un ciclu fix de săptămâni). Un răspuns care spune doar "actualizăm în mod regulat" este prea vag; se cere de obicei o perioadă concretă pe clasă de risc și cine este responsabil de implementarea și monitorizarea acesteia.

Dacă nu ai termene stabilite, atunci "nu" este răspunsul onest, chiar dacă în practică aplici patch-uri rapid. O procedură care există doar în capul cuiva nu este o politică pe care o poți demonstra. Adesea aceeași listă conține și întrebări dacă această politică de patch-uri face parte dintr-un proces mai larg de analiză a riscurilor — dacă acolo există deja o politică stabilită, poți integra politica de patch-uri acolo în loc să o documentezi separat. Acordă atenție și domeniului de aplicare al întrebării: se referă la infrastructura ta proprie, la produsele pe care le furnizezi sau la ambele. Aceasta determină dacă dovada ta este un document de politică intern sau o notă de lansare adresată clienților.

Conform articolului 21, alineatul 2, NIS2

Gestionarea vulnerabilităților și remedierea acestora (handling și disclosure) sunt menționate ca măsură separată în articolul 21, alineatul 2, al Directivei (UE) 2022/2555, alături de practicile de bază pentru securitate cibernetică. Politica de patch-uri este implementarea operațională a acestei măsuri. În ISO/IEC 27001, aceasta apare în Anexa A, sub măsurile de control pentru gestionarea vulnerabilităților tehnice, unde sincronizarea patch-urilor este menționată explicit ca control. Sub Legea privind securitatea cibernetică, transpunerea neerlandeză a NIS2, această cerință intră în vigoare la 15 august 2026 pentru entitățile care se încadrează în domeniul de aplicare al legii.