Politika upravljanja ranjivostima i zakrpama

Politika upravljanja ranjivostima i zakrpama (P19) definira strukturirani pristup potreban za identifikaciju, klasifikaciju, otklanjanje i praćenje tehničkih ranjivosti i softverskih nedostataka unutar sve imovine kojom upravlja sustav upravljanja informacijskom sigurnošću (ISMS) organizacije. Primarni cilj je smanjiti izloženost riziku zbog neadresiranih slabosti osiguravanjem koordiniranog procesa za procjenu ranjivosti, određivanje prioriteta, korektivne radnje i praćenje usklađenosti, prilagođen operativnim prioritetima i regulatornom okruženju relevantnom za organizaciju. Politika se primjenjuje na razini cijele tvrtke na sve informacijske sustave, aplikacije, mrežnu infrastrukturu, firmver, resurse u oblaku, sučelja za programiranje aplikacija, krajnje točke, poslužitelje, virtualnu infrastrukturu i platforme trećih strana bez obzira na okruženje hostiranja. Obvezujuća je i za interne timove i za pružatelje usluga treće strane te nalaže pristup cjelovitog životnog ciklusa, počevši od redovitog skeniranja ranjivosti i otkrivanja, preko bodovanja rizika i nabave zakrpa, do pravovremenog uvođenja, postupanja s iznimkama, praćenja i izvješćivanja. Poseban naglasak stavlja se na autentificirano, rizikom prilagođeno skeniranje u definiranim intervalima, osobito za imovinu izloženu internetu ili imovinu visoke vrijednosti, uz povezane postupke za uvođenje u posao novih sustava i održavanje usklađenosti tijekom njihova životnog ciklusa. Uloge i odgovornosti precizno su razgraničene radi jačanja odgovornosti. Glavni službenik za informacijsku sigurnost (CISO) vlasnik je integracije politike i usklađivanja s rizikom; voditelji upravljanja ranjivostima nadziru operativnu isporuku; vlasnici sustava i aplikacija zaduženi su za primjenu korektivnih radnji i validaciju stabilnosti sustava; IT operacije provode promjene unutar utvrđenih prozora, a sigurnosni analitičari održavaju budnost kroz kontinuirano praćenje i otkrivanje prijetnji te ažurirane procjene rizika. Postoje formalni zahtjevi za dobavljače trećih strana kako bi se osiguralo da vanjski sustavi poštuju iste sporazume o razini usluge (SLA) za zakrpe, uz periodične revizije i kontrole nad njihovim procesima upravljanja zakrpama. Okvir upravljanja, uključujući centralno održavan registar upravljanja ranjivostima i SLA-ove temeljene na riziku, podupire politiku. Sustav provodi hitnost zakrpavanja prema ozbiljnosti (kako je određeno CVSS bodovanjem), kritičnosti imovine i izloženosti, uz integraciju s Politikom upravljanja promjenama radi sljedivosti i stabilnosti. Detaljni protokoli iznimki propisuju zahtjeve za formalno odobrenje, kompenzacijske kontrole, učestalost preispitivanja, vremenska ograničenja za kritične rizike i obvezno praćenje u određenim ISMS registrima. Provedba politike oslanja se na kontinuirano praćenje usklađenosti, izvješćivanje o statusu i strukturiranu eskalaciju. Politika također nalaže revizije, naknadne istrage nakon incidenata te robustan protokol pregleda/ažuriranja kako bi se osigurala trajna usklađenost s promjenjivim regulatornim obvezama, tehnološkim promjenama i relevantnim obavještajnim podacima o prijetnjama. Izravno je povezana s temeljnim politikama, kao što su politika informacijske sigurnosti, upravljanje promjenama, upravljanje rizicima, upravljanje imovinom, Politika bilježenja i praćenja te odgovor na incidente, kako bi se osigurao end-to-end obuhvat.