Existuje proces na zisťovanie a odstraňovanie zraniteľností?

Riadenie zraniteľností je jedným z desiatich opatrení

Áno, toto je stála otázka v každom zozname otázok NIS2, pretože politika zraniteľností je zaradená ako samostatná zložka medzi desať opatrení článku 21 odsek 2. Očakáva sa proces, ktorý systematicky odhaľuje zraniteľnosti v softvéri, systémoch a sieťach — prostredníctvom skanov, oznamov od dodávateľov alebo informácií o hrozbách — a ktorý stanovuje, v akej lehote sa aplikuje záplata alebo riešenie, v závislosti od závažnosti. Jediné antivírové riešenie alebo príležitostná aktualizácia nie je odpoveďou na túto otázku; požaduje sa proces, nie prostriedok.

Čo sa počíta ako dôkaz: dokument postupu alebo politiky s frekvenciou skanovania, lehotami na opravy podľa triedy rizika a zodpovedajúcou funkciou. Ak to chýba, potom je "nie" alebo "čiastočne" úprimnou odpoveďou — samostatná konfigurácia nástroja bez procesu za ňou nestačí. Zákazníci si túto otázku často kladú v kombinácii s otázkou či existuje postup na riešenie bezpečnostných incidentov, pretože chýbajúca záplata je často príčinou incidentu. Riadenie zraniteľností sa tiež niekedy spája s otázkou či sa účinnosť opatrení pravidelne preveruje, pretože proces skanovania bez kontroly vykonania je v praxi písaný proces.

Kde sa to nachádza v smernici: článok 21 odsek 2

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 výslovne spomína "handling of vulnerabilities" ako jedno z desiatich opatrení, ktoré patria medzi opatrenia na riadenie rizík, ktoré musia subjekty prijať. Samotná smernica nepredpisuje frekvenciu skanovania ani lehotu na opravu — táto úroveň podrobnosti sa ponecháva vlastnej analýze rizík a v príslušných prípadoch na sektorovú alebo národnú implementáciu. Zoznam otázok, ktorý požaduje konkrétne číslo (napríklad "kritické záplaty do X dní"), overuje vlastnú normu príjemcu, nie minimum NIS2. Pri vyplňovaní dajte pozor na rozlíšenie medzi "máme proces" a "vždy splníme našu vlastnú lehotu" — to sú dve rôzne odpovede na dve rôzne otázky, aj keď zoznam otázok ich zlúči.