küsimustik küsib meie tarkvara värskendamise paigaldamise poliitika kohta

Paiga-poliitika kuulub haavatavuste juhtimise alla, mitte intsidentide reageerimise alla

Küsimus paiga-poliitika kohta kuulub protsess haavatavuste tuvastamiseks ja parandamiseks, mitte intsidentide reageerimise alla. Kliendid tahavad teada, kas värskendused juurutatakse struktureeritult ja õigeaegselt, eristades kriitilisi paiku (sageli päevade jooksul) ja regulaarseid värskendusi (sageli kindla tsükluse jooksul nädalates). Vastus, mis ütleb ainult "me värskendame regulaarselt", on liiga ebamäärane; tavaliselt nõutakse konkreetset ajajoont riskiklassi kohta ja teavet selle kohta, kes vastutab selle täitmise ja kontrolli eest.

Kui sa ei ole ajangrensiid määratlenud, on "ei" aus vastus, isegi kui tegelikkuses paigaldad kiiresti. Protseduur, mis eksisteerib ainult kellegi peas, ei ole poliitika, mida saad demonstreerida. Sageli küsitakse samas loendis ka seda, kas see paigaldusepoliitika on osa laiemast riskianalüüsi protsessist — kui selline määratletud poliitika juba on olemas, võid paigaldusepoliitikat selle osana dokumenteerida asemel, et seda eraldi dokumenteerida. Pöördle tähelepanu ka küsimuse ulatusele: kas see on seotud sinu enda infrastruktuuriga, toodete kohta, mida pakud, või mõlemaga. See määrab, kas tõendusmaterjal on sisemine poliitikadokument või kliente suunav väljaandeteade.

Tagasi jäljendatav artikli 21 lõige 2 NIS2

Haavatavuste haldus ja nende kõrvaldamine (käitlemine ja avalikustamine) on nimetatud eraldi meetmena Direktiivi (EL) 2022/2555 artikli 21 lõikes 2, kõrval küberturvalisuse põhitavadega. Paigaldusepoliitika on selle meetme operatiivne rakendamine. ISO/IEC 27001-es esineb see uuesti Lisas A, tehnilistest haavatavuste haldusmeetmetest, kus paigalduste ajastus on otseselt nimetatud kontrollimehhanismina. Küberturvalisuse seaduse alusel, NIS2 Hollandi ülevõtmise, kehtib see nõue alates 15. augustist 2026 seaduse reguleeritavate üksuste suhtes.