questionário pergunta com que rapidez executamos atualizações de segurança

A política de patches enquadra-se na gestão de vulnerabilidades, não na resposta a incidentes

A questão sobre a velocidade de atualizações e patches aborda o processo de gestão de vulnerabilidades: com que rapidez você sinaliza que um patch está disponível e com que rapidez o implementa. Este é um processo diferente da resposta a incidentes — instalar um patch é preventivo, lidar com um incidente é reativo. Os clientes costumam fazer esta pergunta separadamente uma da outra na mesma lista, e é sensato responder também de forma separada: quem mistura gestão de vulnerabilidades com resposta a incidentes fornece uma resposta que não corresponde quando questionada.

A prova concreta para esta questão é geralmente uma cronologia com prazos por categoria de risco: vulnerabilidades críticas dentro de X dias, risco elevado dentro de Y dias, e assim por diante — mais um registro que demonstre que esses prazos são realmente cumpridos. Se você não tiver documentado isso, a resposta honesta a esta pergunta é "não", mesmo que os patches na prática avancem rápido o suficiente; um hábito não documentado não é um processo demonstrável. A parte correspondente do dossier sobre um processo para detectar e corrigir vulnerabilidades é o lugar para que você possa entregar isso da próxima vez. Preste também atenção ao escopo da pergunta: alguns portais perguntam isso apenas para sistemas que processam dados dos clientes, outros para todo o ambiente de TI, incluindo postos de trabalho — isso faz bastante diferença no que você deve poder demonstrar.

Onde isso decorre: artigo 21.º n.º 2 e Anexo A

O artigo 21.º n.º 2 da Diretiva NIS2 menciona a gestão de vulnerabilidades e o tratamento de fraquezas conhecidas como uma das dez medidas obrigatórias para as entidades abrangidas pela diretiva; a Lei de Cibersegurança transpõe isto para a legislação holandesa. Se essa obrigação se aplica à própria empresa depende de ou se a empresa está abrangida pela diretiva NIS2 — mas mesmo sem essa obrigação, um cliente maior frequentemente faz essa pergunta de qualquer forma, como parte da sua própria avaliação da cadeia. ISO/IEC 27001 desenvolve isso ainda mais sob as medidas de controlo do Anexo A, onde a gestão de patches e a gestão técnica de vulnerabilidades voltam a aparecer como um ponto de controlo separado.