Ali obstaja proces za zaznavanje in odpravo ranljivosti?

Upravljanje ranljivosti je ena od desetih ukrepov

Ja, to je stalna vprašanja v vsakem seznamu vprašanj NIS2, saj je politika ranljivosti navedena kot ločen del med desetimi ukrepi člena 21(2). Pričakuje se postopek, ki sistematično odkriva ranljivosti v programski opremi, sistemih in omrežjih — prek skeniranj, obvestil ponudnikov ali obveščevalnih podatkov o grožnjah — ter dokumentira rok, v katerem se uporabi popravek ali začasna rešitev, odvisno od resnosti. Edina protivirusna rešitev ali občasna posodobitev nista odgovor na to vprašanje; sprašuje se po postopku, ne po sredstvu.

Kot dokaz šteje: dokument o postopku ali politiki s frekvenco skeniranja, roki za popravke po razredu tveganja in odgovorna funkcija. Če to manjka, je "ne" ali "delno" pošten odgovor — samostojni konfiguracija orodja brez postopka v ozadju ne zadošča. Odjemalci to pogosto vprašajo v kombinaciji z vprašanjem ali obstaja postopek za obravnavanje varnostnih incidentov, ker je spregledan popravek pogosto vzrok za incident. Upravljanje ranljivosti se tudi včasih povezuje z vprašanjem ali se učinkovitost ukrepov periodično preverja, ker je proces skeniranja brez nadzora nad sledjenjem v praksi papirni postopek.

Kjer je to v direktivi: člen 21(2)

Člen 21(2) Direktive (EU) 2022/2555 izrecno našteva "handling of vulnerabilities" kot enega od desetih ukrepov, ki so del ukrepov za upravljanje tveganja, ki jih morajo sprejeti subjekti. Direktiva sama ne predpisuje frekvence skeniranja ali roka za popravke — ta stopnja podrobnosti je prepuščena lastni analizi tveganja in, če je primerno, panožnim ali nacionalnim razlágam. Seznam vprašanj, ki zahteva konkretno število (na primer "kritični popravki v roku X dni"), torej preverja lastni standard odjemalca, ne NIS2-minimuma. Pri izpolnjevanju bodite pozorni na razliko med "imamo postopek" in "vedno dosežemo svoj rok" — to sta dva različna odgovora na dve različni vprašanji, tudi če seznam vprašanj skupaj te vprašanja.