létezik-e folyamat a sebezhetőségek feltárásához és orvoslásához?

A sebezhetőségi menedzsment a tíz intézmkedés egyike

Igen, ez egy állandó kérdés minden NIS2 kérdőívben, mivel a sebezhetőségi politika a 21. cikk 2. bekezdés tíz intézkedése között külön alpontként szerepel. Elvárható egy olyan eljárás, amely szisztematikusan felderíti a szoftverben, rendszerekben és hálózatokban található sebezhetőségeket — szkennelésen, szállítói bejelentéseken vagy threat intelligence-en keresztül —, és rögzíti, hogy milyen időn belül kerül telepítésre a javítás vagy munkakerülő megoldás, a súlyosságtól függően. Egyetlen antivírus-megoldás vagy alkalmi frissítés nem tekinthető válasznak erre a kérdésre; az eljárásra kérdeznek, nem az eszközre.

Bizonyítékként számít: egy eljárási utasítás vagy szabályzati dokumentum a szkennelési gyakorisággal, a kockázati osztályonkénti javítási határidőkkel és egy felelős funkcióval. Ha ez hiányzik, akkor az "igen" vagy "részben" az őszinte válasz — egy önálló eszközkonfigurációs beállítás az eljárás nélkül nem elegendő. Az ügyfeleink ezt gyakran a biztonsági incidensek kezelésére vonatkozó eljárásra vonatkozó kérdéssel együtt teszik fel vagy van-e eljárás a biztonsági incidensek kezelésére, mivel egy elmaradt javítás gyakorta az incidens oka. A sebezhetőségi menedzsmant szintén gyakran összekapcsolják az intézkedések hatékonyságának időszakos ellenőrzésére vonatkozó kérdéssel vagy az intézkedések hatékonyságát időszakosan értékelik-e, mivel egy szkenneléses eljárás nyomonkövetés nélkül a gyakorlatban papíralapú eljárás.

Ahol ez az irányelvben szerepel: 21. cikk 2. bekezdés

A (EU) 2022/2555 Irányelvben szereplő 21. cikk 2. bekezdése szó szerint a "sebezhetőségek kezelését" sorolja fel a tíz intézmkedés egyikeként, amely a kockázatkezelési intézmkedések közé tartozik, amelyeket az entitásoknak meg kell tenniük. Az irányelvben szereplő szkennelési gyakoriság vagy javítási határidő nincsen előírva — ezt a részletezettségi szintet a saját kockázatelemzésre és szükség esetén a szektoriális vagy nemzeti alkalmazásra bízza. Az a kérdőív, amely konkrét számra kérdez (például "kritikus javítások X napon belül"), tehát a megkérdezettnek a saját normáját, nem a NIS2-minimum szintjét ellenőrzi. Az kitöltéskor ügyeljen a "van-e folyamatunk" és "mindig teljesítjük a saját határidőinket" közötti különbségtételre — ezek két különböző válasz két különböző kérdésre, még akkor is, ha a kérdőív összekapcsolja őket.