Beleid inzake kwetsbaarheids- en patchbeheer

Het Beleid inzake kwetsbaarheids- en patchbeheer (P19) definieert de gestructureerde aanpak die vereist is voor het identificeren, classificeren, verhelpen en monitoren van technische kwetsbaarheden en softwarefouten binnen alle activa die worden beheerd door het Managementsysteem voor informatiebeveiliging (ISMS) van de organisatie. Het primaire doel is het verminderen van risicoblootstelling door niet-aangepakte zwakheden, door een gecoördineerd proces te waarborgen voor kwetsbaarheidsbeoordeling, prioritering, remediatie en nalevingsopvolging, afgestemd op de operationele prioriteiten en het relevante regelgevingslandschap. Het beleid is organisatiebreed van toepassing op alle informatiesystemen, toepassingen, netwerkinfrastructuur, firmware, cloudresources, API's, endpoints, servers, virtuele infrastructuur en derdepartijplatformen, ongeacht de hostingomgeving. Bindend voor zowel interne teams als externe dienstverleners, verplicht het een volledige lifecycle-aanpak: van regelmatige kwetsbaarheidsscans en discovery, via risicoscoring en patchverwerving, tot tijdige uitrol, afhandeling van uitzonderingen, monitoring en rapportage. Er wordt speciale nadruk gelegd op geauthenticeerde, risicogecorrigeerde scans met gedefinieerde intervallen, met name voor internet-facing of high-value activa, met bijbehorende procedures voor onboarding van nieuwe systemen en het behouden van naleving gedurende de levenscyclus. Rollen en verantwoordelijkheden zijn nauwkeurig afgebakend om verantwoordingsplicht te borgen. De Chief Information Security Officer (CISO) is eigenaar van beleidsintegratie en risico-afstemming; de verantwoordelijke voor kwetsbaarheidsbeheer ziet toe op de operationele uitvoering; systeem- en applicatie-eigenaren zijn verantwoordelijk voor het toepassen van herstelmaatregelen en het valideren van systeemstabiliteit; IT-operatieteams voeren wijzigingen uit binnen vastgestelde windows; en beveiligingsanalisten behouden waakzaamheid via monitoring en dreigingsdetectie en bijgewerkte risicobeoordelingen. Er gelden formele eisen voor externe leveranciers om te waarborgen dat externe systemen voldoen aan dezelfde patch-SLA's, met periodieke audits en beheersmaatregelen over hun patchbeheerprocessen. Een governancemodel, inclusief een centraal bijgehouden kwetsbaarheidsbeheerregister en risicogebaseerde SLA's, ondersteunt het beleid. Het systeem handhaaft patchurgentie op basis van ernst (zoals bepaald door CVSS-scoring), kritikaliteit van het bedrijfsmiddel en blootstelling, terwijl het integreert met het Wijzigingsbeheerbeleid voor traceerbaarheid en stabiliteit. Gedetailleerde protocollen voor uitzonderingen specificeren eisen voor formele goedkeuring, compenserende maatregelen, herzieningscadans, tijdslimieten voor kritieke risico's en verplichte registratie in aangewezen ISMS-registers. Handhaving van het beleid steunt op continue nalevingsmonitoring, statusrapportage en gestructureerde escalatie. Het beleid verplicht ook audits, retrospectieve onderzoeken na incidenten en een robuust protocol voor herziening/bijwerking om blijvende afstemming te waarborgen met evoluerende wettelijke verplichtingen, technologische veranderingen en dreigingsinformatie met hoge impact. Het is direct gekoppeld aan basisbeleid, zoals P01 Informatiebeveiligingsbeleid, P05 Wijzigingsbeheerbeleid, risicobeheer, assetmanagement, Logging- en monitoringbeleid en Incidentresponsbeleid (P30), om end-to-end dekking te waarborgen.