jautājumā tiek vaicāts, cik ātri mēs veicam atjauninājumus un labojumus

Lapiņu pārvaldība ietilpst nedrošības politikā, nevis atsevišķi

Jautājums par to, cik ātri tiek ieviesti atjauninājumi un lapiņas, ir apakšjautājums plašākā tēmā: procesu, lai identificētu un novērstu ievainojamībasKlients, kurš to jautā, vēlas zināt, vai ir strukturēts process — ne tikai tas, vai kādreiz tiek instalēts atjauninājums. Konkrēti, parasti ir trīs lietas: vai ir fiksēts cikls (iknedēļas, ikmonētu), vai tiek izdarīta atšķirība pēc smaguma (kritiska nedrošība ātrāk nekā parastais atjauninājums), un vai ir izņēmuma process sistēmām, kuras nevar nekavējoties palabot.

Ja nav fiksēta procesa, tad "vēl jānosaka" ir godīga atbilde — ne tāpēc, ka šis jautājums ir nesvarīgs, bet tāpēc, ka ticama atbilde prasa pierādījuma dokumentu: lapiņu politiku, apstrādes laiku pārskatu pēc smaguma līmeņa, vai biļešu sistēmu, kas to reģistrē. Bez šāda dokumenta jebkurš konkrēts skaitlis ("48 stundu laikā", "14 dienu laikā") nav pamatojams pret klientu. Tie, kas šo procesu jau ir ieviešuši, bet to neizdokumentējuši, darītu labi, to vispirms uzrakstot, pirms tas tiek apstiprināts kā "jā". Tas bieži ir saistīts ar piekļuves politiku un uzņēmuma līdzekļu pārvaldibez aktuāla skaidrojuma par to, kādas sistēmas un iekārtas ir pieejamas, arī nav iespējams noteikt, vai patiešām viss tiek palabot.

Uz ko tas attiecas: 21. panta 2. punkts un A pielikums

Lapiņu pārvaldība nav atsevišķs juridisks jēdziens, bet ietilpst nedrošības pārvaldības pasākumos, kas minēti Direktīvas (ES) 2022/2555 (NIS2) 21. panta 2. punktā, kur "nedrošības situācijas apstrāde" ir viens no desmit obligātajiem pasākumiem entitātēm, uz kurām attiecas šī direktīva. ISO/IEC 27001 tajā pašā tēmā parādās Pielikumā A, tehniskās nedrošības pārvaldības kontroles pasākumos. Abi avoti neprasītu noteiktu ātrumu, bet gan procesu, kas būtiski darbojas. Nīderlandes Kiberdraudzības likums to vēlāk papildina tālāk; ir paredzēts, ka tas stāsies spēkā 2026. gada 15. augustā.