Onko olemassa prosessi haavoittuvuuksien tunnistamiseksi ja korjaamiseksi?

Haavoittuvuuksien hallinta on yksi kymmenestä toimenpiteestä

Kyllä, tämä on vakiokysymys jokaisessa NIS2-kyselylomakkeessa, koska haavoittuvuuksien hallintapolitiikka on erillinen osa artiklan 21 luvun 2 kymmenestä toimenpiteestä. Odotetaan prosessia, joka etsii järjestelmällisesti ohjelmistojen, järjestelmien ja verkkojen haavoittuvuuksia — skannausten, toimittajien ilmoitusten tai uhkaintelligenssin kautta — ja määrittää, kuinka lyhyessä ajassa korjaus tai väliaikainen ratkaisu käyttöönototetaan vakavuuden mukaan. Yksittäinen virustorjuntaratkaisu tai satunnaiset päivitykset eivät ole vastaus tähän kysymykseen; kysytään prosessista, ei työkalusta.

Todisteeksi kelpaava: menettelystä tai politiikka-asiakirjasta, jossa esitetään skannauksen tiheys, korjaustermit riskiluokittain ja vastuussa oleva tehtävä. Jos tämä puuttuu, "ei" tai "osittain" on rehellinen vastaus — irrotettu työkalun konfiguraatio ilman prosessia ei riitä. Asiakkaat kysyvät usein tätä yhdessä kysymyksen kanssa onko olemassa menettely turvallisuuspoikkeamien käsittelylle, koska puuttuvasta korjauksesta johtuu usein poikkeama. Haavoittuvuuksien hallintaa kytketään myös usein kysymykseen ovatko toimenpiteiden vaikutukset säännöllisesti testatut, koska skannautumisprosessi ilman seurantaa on käytännössä vain paperilla oleva prosessi.

Missä tämä esiintyy ohjeistuksessa: artikla 21 luku 2

Direktiivin (EU) 2022/2555 artiklan 21 luvun 2 kohdassa "handling of vulnerabilities" mainitaan kirjaimellisesti yhtenä kymmenestä toimenpiteestä, jotka kuuluvat riskienhallintotoimenpiteisiin, joita yksiköiden on toteutettava. Direktiivi itse ei määritä skannaustiheyttä tai korjaustermia — tämä yksityiskohtien taso jätetään omalle riskianalyysille ja, jos sovellettavaa, sektoriaalisille tai kansallisille täsmennyksille. Kyselylomake, joka vaatii konkreettisen luvun (esimerkiksi "kriittiset korjaukset X päivässä"), testaa siis vastaanottajan omaa normia, ei NIS2-minimia. Huomioi täyttämisen yhteydessä ero "meillä on prosessi" ja "me aina saavutamme oman määräaikamme" välillä — nämä ovat kaksi eri vastausta kahteen eri kysymykseen, vaikka kyselylomake ne yhdistäisikin.