Pažeidžiamumų valdymo ir pataisų diegimo politika

Pažeidžiamumų valdymo ir pataisų diegimo politika (P19) apibrėžia struktūrizuotą metodą, reikalingą techninių pažeidžiamumų ir programinės įrangos trūkumų identifikavimui, klasifikavimui, trūkumų šalinimui ir stebėsenai visame turte, kurį valdo organizacijos Informacijos saugumo valdymo sistema (ISVS). Pagrindinis tikslas – sumažinti likutinę rizikos ekspoziciją dėl nepašalintų spragų, užtikrinant koordinuotą pažeidžiamumų vertinimo, prioritetizavimo, trūkumų šalinimo ir atitikties sekimo procesą, pritaikytą organizacijai aktualiems veiklos prioritetams ir reglamentavimo aplinkai. Politika taikoma visoje įmonėje visoms informacinėms sistemoms, taikomosioms programoms, tinklo infrastruktūrai, mikroprograminei įrangai, debesijos ištekliams, taikomųjų programų sąsajoms, galiniams įrenginiams, serveriams, virtualiajai infrastruktūrai ir trečiųjų šalių platformoms, nepriklausomai nuo talpinimo aplinkos. Ji privaloma tiek vidinėms komandoms, tiek trečiųjų šalių paslaugų teikėjams, ir reikalauja viso gyvavimo ciklo požiūrio: nuo reguliaraus pažeidžiamumų skenavimo ir aptikimo, per rizikos vertinimą balais ir pataisų gavimą, iki savalaikio diegimo, išimčių tvarkymo, stebėsenos ir ataskaitų teikimo. Ypatingas dėmesys skiriamas autentifikuotam, rizikai pritaikytam skenavimui nustatytais intervalais, ypač internetui atviram arba didelės vertės turtui, taip pat procedūroms, skirtoms naujų sistemų įtraukimui ir atitikties palaikymui per visą jų gyvavimo ciklą. Vaidmenys ir atsakomybės apibrėžiami tiksliai, siekiant užtikrinti atskaitomybę. Vyriausiasis informacijos saugumo pareigūnas (CISO) atsako už politikos integravimą ir suderinimą su rizika; pažeidžiamumų valdymo vadovai prižiūri operacinį įgyvendinimą; sistemų savininkas ir taikomųjų programų savininkai atsako už trūkumų šalinimo taikymą ir sistemos stabilumo validavimą; IT operacijos vykdo pakeitimus nustatytuose languose, o saugumo analitikai palaiko budrumą per nuolatinę atitikties stebėseną, stebėseną ir grėsmių aptikimą bei atnaujintus rizikos vertinimus. Trečiųjų šalių tiekėjams taikomi formalūs reikalavimai, kad išorinės sistemos laikytųsi tų pačių paslaugų lygio susitarimų (SLA) dėl pataisų, o jų pataisų diegimo procesai būtų periodiškai audituojami ir kontroliuojami. Politiką pagrindžia valdysenos sistema, įskaitant centralizuotai palaikomą pažeidžiamumų valdymo registrą ir rizika grindžiamus SLA. Sistema nustato pataisų skubumą pagal sunkumą (pagal CVSS balus), turto kritiškumą ir išorinį pasiekiamumą, kartu integruojant pokyčių valdymo politiką atsekamumui ir stabilumui. Išsamūs išimčių protokolai nustato formalaus patvirtinimo, kompensacinių kontrolės priemonių, peržiūrų periodiškumo, laiko apribojimų kritinėms rizikoms ir privalomo sekimo nustatytuose ISVS registruose reikalavimus. Politikos vykdymo užtikrinimas remiasi nuolatine atitikties stebėsena, būsenos ataskaitomis ir struktūrizuotu eskalavimu. Politika taip pat reikalauja auditų, retrospektyvių tyrimų po incidentų ir tvirto peržiūros / atnaujinimo protokolo, kad būtų išlaikytas suderinamumas su kintančiais reglamentavimo įpareigojimais, technologiniais pokyčiais ir aktualia grėsmių žvalgyba. Ji tiesiogiai susieta su pagrindinėmis politikomis, tokiomis kaip Informacijos saugumo politika, Pakeitimų valdymo politika, Rizikos valdymo procesas, Turto valdymas, Žurnalinimo ir stebėsenos politika ir reagavimo į incidentus politika, siekiant užtikrinti visapusišką aprėptį.