Seznam vprašanj vprašuje, kako hitro izvedemo varnostne posodobitve

Politika popravkov spada pod upravljanje ranljivosti, ne pod odziv na varnostne motnje

Vprašanje o hitrosti posodobitev in popravkov se nanaša na postopek upravljanja ranljivosti: kako hitro sporočiš, da je popravek na voljo, in kako hitro ga uvedeš. To je drugačen postopek kot odziv na incidente — namestitev popravka je preventivna, obravnava incidenta je reaktivna. Stranke to pogosto sprašujejo ločeno druga od druge na isti listi, in smiselno je odgovoriti tudi ločeno: kdor zmešča upravljanje ranljivosti z odzivom na incidente, poda odgovor, ki se pri povpraševanju ne ujema.

Konkreten dokaz za to vprašanje je običajno časovnica z roki za vsako kategorijo tveganja: kritične ranljivosti v roku X dni, visoko tveganje v roku Y dni, in tako naprej — ter dnevnik, ki kaže, da so ti roki res doseženi. Če tega nisi dokumentiral, je »ne« pošten odgovor na to vprašanje, tudi če patchi v praksi potekajo dovolj hitro; nedokumentirana praksa ni dokazljiv postopek. Pripadajoči del dossierja o postopek za odkrivanje in odpravo ranljivosti je mesto, da to naslednjič lahko vsekakor predložiš. Pozorno tudi na obseg vprašanja: nekateri portali to sprašujejo samo za sisteme, ki obdelujejo podatke strank, drugi pa za celotno IT-okolje vključno s katalogi — to je precejšnja razlika v tem, kaj moraš pokazati.

Kjer izhaja iz tega: člen 21 odstavek 2 in Prilogo A

Člen 21 odstavek 2 direktive NIS2 omenja upravljanje ranljivosti in obravnavo znanih šibkih točk kot eno od desetih obveznih ukrepov za subjekte, na katere se direktiva nanaša; Zakon o kibernetski varnosti to preslika v nizozemsko zakonodajo. Ali se ta obveznost nanaša na samo podjetje, je odvisno od ali je podjetje zajeto v Direktivo NIS2 — toda tudi brez te obveznosti ta vprašanja pogosto postavlja večji kupec kot del svoje lastne ocene verige. ISO/IEC 27001 to naprej razdeluje pod nadzornimi ukrepi iz Priloge A, kjer se upravljanje popravkov in tehnični nadzor ranljivosti pojavljata kot ločena točka nadzora.