Postoji li proces za pronalaženje i otklanjanje ranjivosti?

Upravljanje ranjivostima je jedna od deset mjera

Da, ovo je čvrsno pitanje na svakom NIS2 popisu pitanja, jer politika ranjivosti stoji kao poseban dio između deset mjera članka 21 stavka 2. Očekuje se proces koji strukturirano otkriva ranjivosti u softveru, sustavima i mrežama — kroz skeniranja, obavijesti dobavljača ili threat intelligence — i koji bilježi u kojem će se roku primijeniti zakrpa ili rješenje zaobilaska, ovisno o ozbiljnosti. Samo antivirus rješenje ili slučajna ažuriranja nisu odgovor na ovo pitanje; pitanje se tiče procesa, a ne sredstva.

Što se broji kao dokaz: proceduralni ili policy dokument sa frekvencijom skeniranja, rokovima zakrpa po klasi rizika i odgovarajućom funkcijom. Ako je to odsutno, tada je "ne" ili "djelomično" čestit odgovor — slobodna konfiguracija alata bez procesa iza nje nije dovoljna. Kupci često pitaju ovo u kombinaciji s pitanjem ili postoji li procedura za rukovanje sigurnosnim incidentima, jer je propuštena zakrpa često upravo uzrok incidenta. Upravljanje ranjivostima se također ponekad povezuje s pitanjem ili se učinkovitost mjera periodički provjeravala, jer proces skeniranja bez nadzora nad praćenjem primjene je u praksi papirni proces.

Gdje je to navedeno u direktivi: članak 21. stavak 2

Članak 21. stavak 2. Direktive (EU) 2022/2555 doslovno navodi "handling of vulnerabilities" kao jednu od deset mjera koje spadaju pod mjere upravljanja rizicima koje subjekti moraju provoditi. Sama direktiva ne propisuje učestalost skeniranja ili rok ažuriranja — ta razina detaljnosti prepušta se vlastitoj analizi rizika i, gdje je primjenjivo, sektorskoj ili nacionalnoj implementaciji. Upitnik koji traži konkretan broj (primjerice "kritični zakrpljeni rokovi unutar X dana") dakle provjeravanjem vlastite norme primaoca, ne NIS2 minimum. Obratite pažnju pri popunjavanju na razliku između "imamo proces" i "uvijek postižemo naš rok" — to su dva različita odgovora na dva različita pitanja, čak i ako upitnik ih kombinira.