il-questionnariu jistaqsi kif malajr inniena ninstallawh patches, x'inniena nidħol

Il-mudda tal-patch taqa' taħt il-politika tal-vulnerabilities, mhux taħt ir-rispons għall-inċidenti

Il-mistoqsija dwar il-veloċità tal-update jew tal-patch tappartjeni għall-proċess għall-immaniġġjar tal-vulnerabilities, waħda mill-għaxar miżuri minn Artikolu 21(2) NIS2. Il-kliyenti jistaqsu dan ħafna drabi bi terminu konkret imqabbad: "fi 14-il ġurnata għal patches kritiċi" jew "fi 30 ġurnata għal riskju għoli". Jekk l-organizzazzjoni tiegħek ma taħdimx bi terminu fiss għal kull livell ta' severity, allura tinftikx tidħol ċekkjament f'waħda minn dawn in-numri — iddeskrivi dak li tassew jiġri, per eżempju li l-patches jiġu ppriorizzati fuq il-bażi ta' skora CVSS jew pariri tal-fornitur, u li l-vulnerabilities kritiċi jitħarġu barra l-ċiklu ta' manutenzjoni regolari.

Il-prova għal dan din normalment politika ta' management tal-patches bil-muddi illi taħdimx għal kull klassifikazzjoni ta' riskju, flimkien ma' estratt mill-reġistru tal-patches jew mill-sistema ta' tickets li juri li dawk il-muddi verament jintlaħqu. Jekk dan tal-aħħar qed inqas, allura deskrizzjoni tal-proċess mingħajr kejl hi aħjar minn terminu mitmum li ma tistax tuqfek. Dan is-suġġett jikkoinċidi ma' il-proċess għat-tidentifikazzjoni u l-korrezzjoni tal-vulnerabbiltajiet — ħafna drabi hija l-istess mistoqsija f'lista ta' mistoqsijiet differenti, għalhekk aċċerta jekk għandek rispons diġà fis-sejf tal-katina qabel ma tibda mill-ġdid.

Fejn dan jinsab fl-ISO 27001 u l-Artikolu 21

Fl-ISO/IEC 27001, il-management tal-patches jaqa' taħt il-miżuri ta' kontroll ta' Annex A li jkollhom x'jaqsmu ma' vulnerabilities tekniċi; auditors normalment jistaqsu għal terminu ddokumentat U għal prova ta' konformità fuq il-perjodu l-aħħar, mhux biss għall-politika fuq il-karta. Fl-NIS2 stess m'hemm l-ebda terminu fiss tal-patch — l-Artikolu 21(2) jispeċifika l-management tal-vulnerabilities bħala miżura obbligatorja, iżda jħalli l-implementazzjoni għall-entità. Jekk tistenna li l-Cybersecurity Act wara li jidħol fis-seħħ fl-15 ta' Awwissu 2026 tieqaf terminu konkret, aċċerta dan meta jinħarġa t-test definitiv; għalissa, dan għadu ma jkunx iddefinit. Jekk int nnifiska għadu m'għandek l-ebda termini numerati għal kull klassifikazzjoni ta' riskju, allura dan jkun jilaħħaq ukoll il-mistoqsija dwar jekk hemm politika għall-analiżi tar-riskju u l-protezzjoni tas-sistemi ta' informazzjoniċ, għax il-priorizzazzjoni tal-patches ħafna drabi hija bbażata fuq dik l-analiżi tar-riskju.