upitnik pita o našoj politici zakrpa za softverske ažuriranja

Politika zakrpa spada pod upravljanje ranjivostima, a ne pod odgovor na incidente

Pitanje o politici zakrpa spada u procesom za prepoznavanje i ispravljanje ranjivosti, a ne u odgovor na incidente. Klijenti žele znati jesu li ažuriranja strukturirano i pravovremeno dostavljana, s razlikom između kritičnih zakrpa (često unutar nekoliko dana) i redovitih ažuriranja (često unutar fiksnog ciklusa od nekoliko tjedana). Odgovor koji samo kaže "redovito ažuriramo" premali je; obično se traži konkretna vremenska linija po klasi rizika i informacija o tome tko je odgovoran za izvršavanje i nadzor toga.

Ako nemaš utvrđene vremenske rokove, tada je "ne" pošten odgovor, čak i ako u praksi brzo primjenjuješ zakrpe. Procedure koja postoji samo u nečijoj glavi nije politika koju možeš dokazati. Često se u istoj listi pita i je li ova politika zakrpa dio šire procedure analize rizika — ako već postoji utvrđena politika za to, možeš politiku zakrpa uključiti kao dio nje umjesto da je dokumentiraš odvojeno. Obrati pozornost i na opseg pitanja: odnosi li se na vašu vlastitu infrastrukturu, na proizvode koje isporučujete, ili na oboje. To određuje je li tvoj dokaz interno policitko dokumentiranje ili napomena o izdanju za klijente.

Naslanja se na članak 21. stavak 2. NIS2

Upravljanje ranjivostima i njihova ispravka (rukovanje i objavljivanje) navedeni su kao odvojena mjera u članku 21. stavak 2. Direktive (EU) 2022/2555, uz osnovne prakse za kibernetsku higijenu. Politika zakrpa je operativna primjena te mjere. U ISO/IEC 27001 to se pojavljuje u Prilogu A pod mjerama kontrole za tehničko upravljanje ranjivostima, gdje je vrijeme primjene zakrpa izričito navedeno kao kontrola. Prema Zakonu o kibernetskoj sigurnosti, nizozemskoj primjeni NIS2, ovaj zahtjev stupi na snagu 15. kolovoza 2026. za subjekte koji spadaju pod zakon.