Dotazník sa pýta, ako rýchlo vykonávame bezpečnostné aktualizácie

Politika záplat spadá pod riadenie zraniteľností, nie pod reakciu na incidenty

Otázka o rýchlosti aktualizácií a záplat sa vzťahuje na proces správy zraniteľností: ako rýchlo signalizujete, že je záplata dostupná, a ako rýchlo ju nasadíte. Ide o iný proces ako odpoveď na incident — inštalácia záplaty je prevenčná, spracovanie incidentu je reaktívne. Zákazníci to často v rovnakom zozname pýtajú oddelene od seba, a je rozumné odpovedať aj oddelene: kto si zamieša správu zraniteľností s odpoveďou na incident, poskytne odpoveď, ktorá pri ďalšom preskúmaní nebude správna.

Konkrétny dôkaz na túto otázku je zvyčajne časová os s lehôtami na jednotlivé kategórie rizika: kritické zraniteľnosti do X dní, vysoké riziko do Y dní, a tak ďalej — plus záznamy, ktoré ukazujú, že sa tieto lehoty skutočne dodržiavajú. Ak ste to nezdokumentovali, potom je "nie" úprimnou odpoveďou na túto otázku, aj keď sa záplaty v praxi nasadzujú dostatočne rýchlo; nedokumentovaný zvyk nie je preukazovateľný proces. Súvisiaca časť spisu o proces na zistenie a nápravu zraniteľností je miesto na to, aby ste to nabudúce mohli poskytnúť. Venujte pozornosť aj rozsahu otázky: niektoré portály sa na to pýtajú iba na systémy, ktoré spracúvajú údaje o zákazníkoch, iné na kompletné IT prostredie vrátane pracovných staníc — to je podstatný rozdiel v tom, čo musíte vedieť ukázať.

Kde to vyplýva: článok 21 bod 2 a Príloha A

Článok 21 bod 2 smernice NIS2 uvádza správu zraniteľností a správu zistených slabých miest ako jedno z desiatich povinných opatrení pre subjekty podliehajúce smernici; Zákon o kybernetickej bezpečnosti to implementuje do slovenskej legislatívy. Či sa táto povinnosť vzťahuje na samotný podnik, závisí od či organizácia spadá pod smernicu NIS2 — ale aj bez tejto povinnosti si väčší zákazník to často tak či tak pýta, ako súčasť svojho vlastného posúdenia reťazca. ISO/IEC 27001 to ďalej rozpracúva v rámci kontrolných opatrení v prílohe A, kde sa správa záplat a technická správa zraniteľností objavujú ako samostatný kontrolný bod.