kyselylomake kysyy, kuinka nopeasti otamme käyttöön tietoturvakorjauksia

Päivityskäytäntö kuuluu haavoittuvuuksien hallintaan, ei häiriöihin reagoimiseen

Kysymys päivitysten ja korjausten nopeudesta koskee haavoittuvuuksien hallinnan prosessia: kuinka nopeasti ilmoitat korjauksen saatavuudesta ja kuinka nopeasti otat sen käyttöön. Tämä on eri prosessi kuin tapaustenhallinnan vastaus — korjauksen asentaminen on ennaltaehkäisevää, tapausta käsitteleminen on reaktiivista. Asiakkaat kysyvät tätä usein toisistaan erillään samalla listalla, ja on järkevää vastata myös erikseen: jos sekoitat haavoittuvuuksien hallinnan tapauksienhallinnan vastauksen kanssa, antamasi vastaus ei pidä paikkaansa jatkokyselyssä.

Konkreettinen näyttö tähän kysymykseen on yleensä aikajana, jossa on määräajat riskikategorioittain: kriittiset haavoittuvuudet X päivässä, korkea riski Y päivässä ja niin edelleen — sekä loki, joka osoittaa, että nuo määräajat todella saavutetaan. Jos et ole dokumentoinut sitä, "ei" on rehellinen vastaus tähän kysymykseen, vaikka korjaukset käytännössä toimisivat riittävän nopeasti; dokumentoimaton tapa ei ole todennettava prosessi. Asiaan liittyvä dossierosan osio prosessi haavoittuvuuksien tunnistamiselle ja korjaamiselle on paikka, jossa voit seuraavalla kerralla toimittaa sen. Kiinnitä huomiota myös kysymyksen laajuuteen: jotkut portaalit kysyvät tätä vain asiakastietoja käsittelevistä järjestelmistä, toiset koko IT-ympäristöstä mukaan lukien työasemat — sillä on suuri merkitys siihen, mitä sinun on pystyttävä näyttämään.

Mistä se seuraa: artikla 21 kohta 2 ja liite A

NIS2-direktiivin 21 artiklan 2 kohta mainitsee haavoittuvuuksien hallinnan ja tunnetuksi tulleista heikkouksista huolehtimisen yhtenä kymmenestä pakollisesta toimenpiteestä yksiköille, joihin direktiivi soveltuu; Kyberturvallisuuslaki sisällyttää tämän Suomen säännöksiin. Se, koskeeko kyseinen velvoite yritystä itseään, riippuu tai määritä, kuuluuko yritys NIS2-direktiivin soveltamisalaan — mutta myös ilman kyseistä velvoitetta suurempi asiakas kysyy tätä usein silti osana omaa ketjuarvioaan. ISO/IEC 27001 kehittelee tätä edelleen liitteen A hallintajärjestelyjen osalta, jossa korjaustenhallinta ja tekniset haavoittuvuuksien hallintaa esiintyvät erillisenä valvontapisteenä.