Czy istnieje proces identyfikacji i usuwania luk w bezpieczeństwie?

Zarządzanie lukami w zabezpieczeniach jest jednym z dziesięciu środków

Tak, jest to stałe pytanie w każdej liście kontrolnej NIS2, ponieważ polityka luk w zabezpieczeniach figuruje jako odrębny element wśród dziesięciu środków z artykułu 21 ust. 2. Oczekuje się procesu, który systematycznie wykrywa luki w oprogramowaniu, systemach i sieciach — poprzez skanowanie, powiadomienia od dostawców lub analizę zagrożeń — i dokumentuje termin, w jakim zostanie zastosowana poprawka lub obejście, w zależności od poważności. Samo rozwiązanie antywirusowe lub okazjonalna aktualizacja nie jest odpowiedzią na to pytanie; pytanie dotyczy procesu, a nie narzędzia.

Co liczy się jako dowód: dokument procedury lub polityki zawierający częstotliwość skanowania, terminy poprawek dla każdej klasy ryzyka i wyznaczoną funkcję odpowiedzialną. Jeśli brakuje tego dokumentu, wtedy "nie" lub "częściowo" to uczciwa odpowiedź — oddzielna konfiguracja narzędzia bez procesu w tle nie wystarczy. Klienci często zadają to pytanie w połączeniu z pytaniem czy istnieje procedura obsługi incydentów bezpieczeństwa, ponieważ pominięta poprawka jest często przyczyną incydentu. Zarządzanie lukami w zabezpieczeniach jest również czasami powiązane z pytaniem czy skuteczność środków jest okresowo testowana, ponieważ proces skanowania bez kontroli realizacji jest w praktyce procesem papierowym.

Gdzie jest to wymienione w wytycznej: artykuł 21 ust. 2

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wprost wymienia "handling of vulnerabilities" jako jeden z dziesięciu środków, które wchodzą w skład środków zarządzania ryzykiem, które muszą wdrażać podmioty. Sama dyrektywa nie określa częstotliwości skanowania ani terminu poprawki — ten poziom szczegółowości pozostawia się własnej analizie ryzyka i, w stosownych przypadkach, rozwinięciom sektorowym lub krajowym. Lista kontrolna, która pyta o konkretną liczbę (na przykład "poprawki krytyczne w ciągu X dni"), testuje więc własny standard odbiorcy, a nie minimum NIS2. Zwracaj uwagę przy wypełnianiu na rozróżnienie między "mamy proces" i "zawsze dotrzymujemy naszego własnego terminu" — to dwie różne odpowiedzi na dwa różne pytania, nawet jeśli lista kontrolna je łączy.