küsimustik küsib, kui kiiresti me turvalisuse värskendusi paigaldame

Paiga-poliitika kuulub haavatavuste juhtimise alla, mitte intsidentide reageerimise alla

Küsimus update'ide ja paigade kiiruse kohta käsitleb haavatavuste juhtimise protsessi: kui kiiresti teatad, et paik on saadaval, ja kui kiiresti selle rakendad. See on erinev protsess kui intsidentide lahendamine — paik paigaldada on ennetav, intsidenti käsitleda on reaktiivne. Kliendid küsivad seda sageli üksteisest eraldi samas loetelus, ja on mõistlik vastata ka eraldi: kes haavatavuste juhtimist intsidentide lahendamisega seob, annab vastuse, mis järelküsitlemisel ei klapi.

Konkreetne tõend selle küsimuse jaoks on tavaliselt ajajoone koos tähtaegade kohta igal riskikategooriale: kriitilised haavatavused X päevaga, kõrge risk Y päevaga ja nii edasi — pluss logiraamat, mis näitab, et neid tähtaegu ka tõepoolest täidetakse. Kui sa seda fikseerinud pole, siis on "ei" aus vastus sellele küsimusele, isegi kui paigad praktikas piisavalt kiiresti käivad; dokumenteerimata harjumus ei ole tõendatav protsess. Seotud dossieosa kohta protsess haavatavuste avastamiseks ja parandamiseks on koht, kus seda järgmine kord saaksid esitada. Pane tähele ka küsimuse ulatust: mõned portaalid küsivad seda ainult süsteemide kohta, mis töötlevad kliendiandmeid, teised kogu IT-keskkonna kohta kaasaarvatud tööstatsioone — see erinevus on päris suur selles, mida pead näitama.

Kust see tuleneb: artikkel 21 lõige 2 ja lisa A

NIS2-direktiivi artikli 21 lõige 2 nimetab haavatavuste juhtimist ja teadaolevatele nõrkadele kohtadele vastamist ühena kümne kohustusliku meetmest üksustel, mis kuuluvad direktiivi alla; küberturvalisuse seadus rakendab seda Hollandi õigusaktidesse. Kas see kohustus kehtib ettevõttele endale, sõltub sellest, kas ettevõte jääb NIS2 direktiivi alla — kuid isegi ilma selle kohustuseta küsib suurem klient seda sageli omakorda osana oma ketijärelevalvest. ISO/IEC 27001 arendab seda edasi lisa A juhtimismeetmete kontrollpunktidel, kus paigahaldustumine ja tehnilised haavatavuste juhtimise kontrolli ilmuvad eraldi kontrollpunktidena.