zoznam otázok sa pýta na našu politiku opráv softvéru a aktualizácií

Politika záplat spadá pod riadenie zraniteľností, nie pod reakciu na incidenty

Otázka týkajúca sa politiky záplat patrí do procesom na detekciu a opravu zraniteľností, nie do reakcie na incidenty. Zákazníci chcú vedieť, či sa aktualizácie zavádzajú systematicky a včas, s rozlíšením medzi kritickými záplatami (často v priebehu niekoľkých dní) a pravidelnými aktualizáciami (často v rámci pevného cyklu týždňov). Odpoveď, ktorá len hovorí "pravidelne aktualizujeme", je príliš vágna; zvyčajne sa žiada konkrétna lehota na jednotlivé triedy rizík a informácia o tom, kto je zodpovedný za vykonávanie a kontrolu.

Ak nemáš stanovené lehoty, je "nie" čestná odpoveď, aj ak v praxi záplatváš rýchlo. Postup, ktorý existuje len v niečiej hlave, nie je politika, ktorú môžeš preukázať. V tej istej zozname sa často pýtajú aj na to, či je táto politika záplat súčasťou širšieho procesu analýzy rizík — ak tam už existuje zdokumentované politika, môžeš politiku záplat zaradiť ako jej súčasť namiesto jej samostatného zdokumentovania. Venuj pozornosť aj rozsahu otázky: ide o tvoju vlastnú infraštruktúru, o produkty, ktoré dodávaš, alebo o oboje. To určuje, či je dôkazný dokument interný politický dokument alebo poznámka k vydaniu smerovaná zákazníkom.

Podľa článku 21 odst. 2 Smernice NIS2

Riadenie zraniteľností a ich odstránenie (spracovanie a zverejnenie) je spomenuté ako samostatné opatrenie v článku 21 odst. 2 Smernice (EÚ) 2022/2555, vedľa základných postupov kybernetickej hygieny. Politika záplat je operačnou implementáciou tohto opatrenia. V ISO/IEC 27001 sa to objavuje v Prílohe A, v rámci kontrolných opatrení na technické riadenie zraniteľností, kde je načasovanie záplat explicitne uvedené ako kontrola. Podľa Zákona o kybernetickej bezpečnosti, ktorý je holandským prenosom smernice NIS2, sa táto povinnosť uplatňuje od 15. augusta 2026 pre subjekty spadajúce pod zákon.