η ερώτηση ζητά πληροφορίες για την πολιτική μας για ενημερώσεις λογισμικού

Η πολιτική αστικών τμημάτων εμπίπτει στη διαχείριση ευπαθειών, όχι στην αντιμετώπιση συμβάντων

Το ερώτημα σχετικά με την πολιτική αστικών τμημάτων ανήκει σε τη διαδικασία εντοπισμού και αποκατάστασης των ευπαθειών, όχι στην αντιμετώπιση συμβάντων. Οι πελάτες θέλουν να γνωρίζουν εάν οι ενημερώσεις κυκλοφορούν δομικά και έγκαιρα, με διάκριση μεταξύ κρίσιμων αστικών τμημάτων (συχνά εντός ημερών) και κανονικών ενημερώσεων (συχνά εντός ενός σταθερού κύκλου εβδομάδων). Μια απάντηση που λέει μόνο "ενημερώνουμε τακτικά" είναι πολύ ασαφής· συνήθως ζητείται μια συγκεκριμένη προθεσμία ανά κατηγορία κινδύνου και ποιος είναι υπεύθυνος για την εκτέλεση και την παρακολούθηση.

Εάν δεν έχεις καθορισμένες προθεσμίες, τότε το "όχι" είναι η ειλικρινής απάντηση, ακόμη και αν στην πράξη εφαρμόζεις γρήγορη διόρθωση. Μια διαδικασία που υπάρχει μόνο στο μυαλό κάποιου δεν είναι πολιτική που μπορείς να αποδείξεις. Συχνά το ίδιο ερωτηματολόγιο ρωτά επίσης εάν αυτή η πολιτική αστικών τμημάτων είναι μέρος μιας ευρύτερης διαδικασίας ανάλυσης κινδύνου — εάν υπάρχει ήδη καθορισμένη πολιτική, μπορείς να ενσωματώσεις την πολιτική αστικών τμημάτων ως μέρος της αντί να την τεκμηριώσεις ξεχωριστά. Δώσε προσοχή και στο πεδίο εφαρμογής του ερωτήματος: αφορά την δική σου υποδομή, τα προϊόντα που παρέχεις, ή και τα δύο; Αυτό καθορίζει εάν το στοιχείο απόδειξης είναι ένα εσωτερικό έγγραφο πολιτικής ή μια σημείωση κυκλοφορίας προς τους πελάτες.

Μπορεί να αποδοθεί στο άρθρο 21 παράγραφος 2 NIS2

Η διαχείριση των ευπαθειών και η αποκατάστασή τους (χειρισμός και αποκάλυψη) αναφέρεται ως ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555, παράλληλα με τις βασικές πρακτικές για την κυβερνοασφάλεια. Η πολιτική αστικών τμημάτων είναι η λειτουργική υλοποίηση αυτού του μέτρου. Στο ISO/IEC 27001 εμφανίζεται στο Παράρτημα A, υπό τα μέτρα ελέγχου για το τεχνικό χειρισμό των ευπαθειών, όπου ο χρονισμός των αστικών τμημάτων αναφέρεται ρητώς ως έλεγχος. Στο πλαίσιο του Νόμου Κυβερνοασφάλειας, της ολλανδικής μεταφοράς του NIS2, αυτή η απαίτηση ισχύει από τις 15 Αυγούστου 2026 για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής του νόμου.