klausimynas klausia apie mūsų programinės įrangos atnaujinimų pataisų politiką

Atnaujinimo politika priklauso pažeidžiamumo valdymui, o ne incidentų reagavimui

Klausimas apie atnaujinimo politiką priklauso pažeidžiamumų nustatymo ir šalinimo procesą, o ne incidentų reagavimui. Klientai nori žinoti, ar atnaujinimai yra nuosekliai ir laiku diegiami, skirtinant kritines pataisas (dažnai per kelis dienus) ir reguliarius atnaujinimus (dažnai per fiksuotą sąvaitės ciklą). Atsakymas, kuriame tik sakoma "mes reguliariai atnaujinome", yra per neaiškus; paprastai prašoma konkreti laikinė riba pagal rizikos klasę ir informacija, kas atsakingas už diegimą ir jo kontrolę.

Jei tu neturi užfiksuotų laiko ribų, teisingas atsakymas yra "ne", net jei praktiškai greitai taisai. Procedūra, kuri egzistuoja tik kažkieno galvoje, nėra politika, kurią galėtum įrodyti. Toje pačioje sąraše dažnai taip pat klausiama, ar ši atnaujinimo politika yra platesnio rizikos analizės proceso dalis — jei jau tokiai yra užfiksuota politika, tu gali atnaujinimo politiką įtraukti kaip jos dalį, o ne dokumentuoti atskirai. Atkreipk dėmesį ir į klausimo aprėptį: ar jis apie tavo infrastruktūrą, apie produktus, kuriuos tu teikini, ar apie abu. Tai lemia, ar jūsų įrodymas yra vidinis politikos dokumentas, ar pranešimas apie paleidimą klientams.

Susijęs su 2022/2555 (ES) direktyvos 21 straipsnio 2 dalimi

Pažeidžiamumo valdymas ir jo šalinimas (tvarkymas ir atskleidimas) yra atskira priemonė, nurodyta Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje, šalia pagrindinių kibernetinio saugumo praktikų. Atnaujinimo politika yra tos priemonės operacinė realizacija. ISO/IEC 27001 standarte tai atsispindi Anekso A skyriuje, tarp techninių pažeidžiamumo valdymo kontrolės priemonių, kur atnaujinimų laikas yra aiškiai nurodyta kaip kontrolė. Pagal Kibernetinio saugumo įstatymą, Nyderlandų NIS2 transpoziciją, šis reikalavimas įsigalioja nuo 2026 m. rugpjūčio 15 d. subjektams, kurie patenka po šio įstatymo taikymo sritimi.