Haavoittuvuuksien ja korjauspäivitysten hallintapolitiikka

Haavoittuvuuksien ja korjauspäivitysten hallintapolitiikka (P19) määrittää jäsennellyn lähestymistavan, jota edellytetään teknisten haavoittuvuuksien ja ohjelmistovirheiden tunnistamiseen, luokitteluun, korjaamiseen ja seurantaan kaikissa omaisuuserissä, joita organisaation tietoturvallisuuden hallintajärjestelmä hallinnoi. Sen ensisijainen tavoite on vähentää riskialtistusta käsittelemättömistä heikkouksista varmistamalla koordinoitu prosessi haavoittuvuuksien arviointiin, priorisointiin, korjaamiseen ja vaatimustenmukaisuuden seurantaan, räätälöitynä organisaation operatiivisiin prioriteetteihin ja sääntely-ympäristöön. Politiikka soveltuu koko yrityksessä kaikkiin tietojärjestelmiin, sovelluksiin, verkko-infrastruktuuriin, laiteohjelmistoon, pilviresursseihin, ohjelmointirajapintoihin, päätelaitteisiin, palvelimiin, virtuaali-infrastruktuuriin ja kolmannen osapuolen alustoihin isännöintiympäristöstä riippumatta. Sekä sisäisiä tiimejä että kolmannen osapuolen palveluntarjoajia sitovana se edellyttää täydellistä elinkaarilähestymistapaa, alkaen säännöllisistä haavoittuvuusskannauksista ja löydöksistä, riskipisteytyksen ja korjauspäivitysten hankinnan kautta oikea-aikaiseen käyttöönottoon, poikkeusten käsittelyyn, seurantaan ja raportointiin. Erityinen painotus annetaan todennetuille, riskikorjatuille skannauksille määritetyin aikavälein, erityisesti internetiin avautuville tai korkean arvon omaisuuserille, sekä niihin liittyville menettelyille uusien järjestelmien käyttöönotossa ja vaatimustenmukaisuuden ylläpidossa koko elinkaaren ajan. Roolit ja vastuut on määritelty täsmällisesti vastuuvelvollisuuden varmistamiseksi. Tietoturvajohtaja (CISO) omistaa politiikan integroinnin ja riskien yhdenmukaistamisen; haavoittuvuuksien hallinnan vastuuhenkilöt valvovat operatiivista toteutusta; järjestelmä- ja sovellusomistajat vastaavat korjausten toteuttamisesta ja järjestelmän vakauden validoinnista; IT-toiminnot toteuttavat muutokset sovituissa ikkunoissa, ja tietoturva-analyytikot ylläpitävät valppautta vaatimustenmukaisuuden jatkuvan seurannan ja päivitettyjen riskien arviointien avulla. Kolmannen osapuolen toimittajille asetetaan muodolliset vaatimukset sen varmistamiseksi, että ulkoiset järjestelmät noudattavat samoja palvelutasosopimuksia (SLA), mukaan lukien säännölliset auditoinnit ja kontrollit heidän korjauspäivitysten hallintaprosesseihinsa. Hallintokehys, mukaan lukien keskitetysti ylläpidetty haavoittuvuuksien hallintarekisteri ja riskiperusteiset palvelutasosopimukset (SLA), tukee politiikkaa. Järjestelmä toimeenpanee korjauspäivitysten kiireellisyyden vakavuuden (CVSS-pisteytyksen perusteella), omaisuuserän kriittisyyden ja altistumisen mukaan sekä integroi muutoksenhallintaan jäljitettävyyden ja vakauden varmistamiseksi. Yksityiskohtaiset poikkeusprotokollat määrittävät vaatimukset muodolliselle hyväksynnälle, kompensoiville hallintakeinoille, katselmointitiheydelle, aikarajoille kriittisille riskeille sekä pakolliselle seurannalle nimetyissä ISMS-rekistereissä. Politiikan täytäntöönpano perustuu jatkuvaan vaatimustenmukaisuuden seurantaan, tilaraportointiin ja jäsenneltyyn eskalointiin. Politiikka edellyttää myös auditointeja, jälkikäteisiä tutkintoja poikkeamien jälkeen sekä vahvaa katselmointi-/päivitysprotokollaa, jotta yhdenmukaisuus säilyy muuttuvien sääntelyvelvoitteiden, teknologisten muutosten ja merkittävän uhkatiedustelun kanssa. Se on suoraan kytketty perustaviin politiikkoihin, kuten P01 Tietoturvapolitiikkaan, P05 Muutoksenhallintapolitiikkaan, riskienhallintaan, omaisuudenhallintaan, lokitus- ja valvontapolitiikkaan sekä tietoturvapoikkeamiin reagoinnin politiikkaan (P30), jotta päästä päähän -kattavuus varmistuu.