jautājumā tiek vaicāts, cik ātri mēs veicam drošības atjauninājumus

Patch politika ietilpst vulnerabilitāšu pārvaldībā, nevis incidentu reagēšanā

Jautājums par atjauninājumu un drāzdiņu ātrumu attiecas uz ievainojamības pārvaldības procesu: cik ātri paziņoji, ka drāzdiņš ir pieejams, un cik ātri to izvērsti. Tas ir atšķirīgs process nekā incidenti reaģēšana — drāzdiņa instalēšana ir preventīva, incidenta apstrāde ir reaktīva. Klienti bieži jautā par to atsevišķi vienā un tajā pašā sarakstā, un ir saprātīgi atbildēt arī atsevišķi: ja ievainojamības pārvaldības ar incidenti reaģēšanu jaucē, sniedz atbildi, kas pārbaudes laikā neatbilst faktiem.

Konkrēts pierādījums šim jautājumam parasti ir laika grafiks ar termiņiem katrai riska kategorijai: kritiski ievainojamības gadījumā X dienu laikā, augsts risks Y dienu laikā un tālāk — plus žurnāls, kas parāda, ka šie termiņi tiek ievēroti. Ja to neesat dokumentējis, tad "nē" ir godīgā atbilde uz šo jautājumu, pat ja drāzdiņi praksē tiek ieviesti pietiekami ātri; nedokumentēts parasts rīcības veids nav pierādāms process. Saistītā dossiera sadaļa par process vulnerabilitāšu atklāšanai un novēršanai ir vieta, lai to nākamreiz varētu nodrošināt. Pievērsiet uzmanību arī jautājuma jomei: dažos portālos par to jautā tikai sistēmām, kas apstrādā klientu datus, citos — par visu IT vidi, ieskaitant darba vietas — tas padarīs atšķirību, ko jāspēj demonstrēt.

Kur tas izriet: 21. panta 2. punkts un I pielikums

21. panta 2. punkts NIS2 direktīvā nosaka ievainojamības pārvaldību un rīcību ar zināmiem vājuma vietām kā vienu no desmit obligātajiem pasākumiem entītijām, uz kurām attiecas direktīva; Kibervērtības likums to ievieš Nīderlandes normatīvajā regulējumā. Vai šis pienākums attiecas uz pašu uzņēmumu, ir atkarīgs no vai uzņēmums ietilpst NIS2 direktīvā — bet arī bez šī pienākuma lielāks klients to bieži jautā, kā daļa no sava paša ķēdes novērtēšanas. ISO/IEC 27001 to tālāk detalizē, izmantojot Pielikuma A kontroles pasākumus, kur drāzdiņu pārvaldība un tehniskā ievainojamības pārvaldība atkal parādās kā atsevišķs kontrolpunkts.