kyselylomake kysyy, kuinka nopeasti otamme käyttöön päivitykset ja korjaukset

Patchhallinta kuuluu haavoittuvuuksien politiikkaan, ei ole erillinen aihe

Kysymys siitä, kuinka nopeasti päivitykset ja korjaukset otetaan käyttöön, on alakysymys laajemman aiheen alla: haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssaAsiakas, joka esittää tämän kysymyksen, haluaa tietää, onko olemassa jäsennelty prosessi — ei vain sitä, asennetaanko päivitys koskaan. Käytännössä se yleensä koskee kolmea asiaa: onko olemassa kiinteä sykli (viikoittain, kuukausittain), tehdäänkö erottelu vakavuuden perusteella (kriittinen haavoittuvuus nopeammin kuin rutiininomainen päivitys), ja onko olemassa poikkeusprosessi järjestelmille, joita ei voida suoraan korjata.

Jos kiinteää prosessia ei ole, on "vielä määritettävä" rehellinen vastaus — ei siksi, että aihe olisi epäsignifikantti, vaan koska uskottava vastaus edellyttää todisteita: patchpolitiikkaa, yhteenveto läpimenoajoista vakavuustasoa kohti, tai lipputusjärjestelmää, joka rekisteröi tämän. Ilman tällaista asiakirjaa jokainen konkreettinen luku ("48 tunnin kuluessa", "14 päivän kuluessa") ei ole perusteltavissa asiakkaalle. Joka on tämän prosessin, mutta ei ole dokumentoinut sitä, tekee viisaasti asettamalla sen ensin paperille ennen kuin se vahvistetaan "kyllä" -merkillä. Tämä liittyy usein pääsynhallintaan ja yritysvarojen hallintaan":n puuttuessa nykyisestä luettelosta siitä, mitä järjestelmiä ja laitteita on olemassa, ei myöskään ole varmistettua, että kaikki korjataan todellisuudessa.

Mistä tämä tulee: artikla 21 kohta 2 ja liite A

Patchhallinta ei ole erillinen oikeudellinen käsite, vaan se kuuluu haavoittuvuuksien hallinnon toimenpiteisiin, jotka mainitaan direktiivin (EU) 2022/2555 (NIS2) artiklan 21 kohdan 2 kohdassa, jossa "haavoittuvuuksien käsittely" on yksi kymmenen pakollisesta toimenpiteestä entiteeteille, joihin direktiivi sovelletaan. ISO/IEC 27001 -standardissa sama aihe esiintyy liitteessä A teknisen haavoittuvuuksien hallinnan valvontatoimenpiteiden alla. Molemmat lähteet eivät vaadi erityistä nopeutta, vaan prosessia, joka osoitettavasti toimii. Alankomaiden kybertietoturvalaki täydentää tätä myöhemmin; sen odotetaan tulevan voimaan 15. elokuuta 2026.