il questionario chiede con quale rapidità implementiamo gli aggiornamenti di sicurezza

La politica di patching rientra nella gestione delle vulnerabilità, non nella risposta agli incidenti

La domanda sulla velocità degli aggiornamenti e delle patch riguarda il processo di gestione delle vulnerabilità: quanto rapidamente segnali che una patch è disponibile e quanto rapidamente la distribuisci. Questo è un processo diverso dalla risposta agli incidenti — installare una patch è preventivo, gestire un incidente è reattivo. I clienti pongono spesso questa domanda separatamente l'una dall'altra nella stessa lista, ed è opportuno rispondere anche in modo separato: chi mescola la gestione delle vulnerabilità con la risposta agli incidenti fornisce una risposta che al controllo successivo non corrisponde.

Le prove concrete per questa domanda sono solitamente una cronologia con termini per categoria di rischio: vulnerabilità critiche entro X giorni, rischio elevato entro Y giorni, e così via — più un registro che mostri che questi termini vengono effettivamente rispettati. Se non l'hai documentato, la risposta onesta a questa domanda è "no", anche se le patch in pratica procedono abbastanza velocemente; un'abitudine non documentata non è un processo dimostrabile. La relativa parte del fascicolo su un processo per identificare e correggere le vulnerabilità è il luogo per poter fornire questo la prossima volta. Prestare attenzione anche all'ambito della domanda: alcuni portali lo chiedono solo per i sistemi che elaborano i dati dei clienti, altri per l'intero ambiente IT incluse le postazioni di lavoro — questo fa una grande differenza in quello che devi poter dimostrare.

Dove questo deriva: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della direttiva NIS2 menziona la gestione delle vulnerabilità e il trattamento delle debolezze note come una delle dieci misure obbligatorie per le entità rientranti nella direttiva; la legge sulla cibersicurezza la implementa nella normativa olandese. Se questo obbligo si applica all'impresa stessa dipende da se l'azienda rientra nella direttiva NIS2 — ma anche senza questo obbligo, un cliente più grande spesso lo chiede comunque, come parte della propria valutazione della catena di approvvigionamento. ISO/IEC 27001 lo sviluppa ulteriormente secondo le misure di controllo dell'Allegato A, dove la gestione delle patch e la gestione tecnica delle vulnerabilità ricompaiono come punto di controllo separato.