zarządzanie podatnościami

co chroni: luki w tym, co działa w firmie, zanim znajdzie je ktoś z zewnątrz
kto za to odpowiada: szef IT
zacznij od: to, co wystawione do internetu, potem serwery, laptopy i urządzenia sieciowe

czym jest

Zarządzanie podatnościami to rutyna: znajdujesz luki w oprogramowaniu i urządzeniach, decydujesz, jak szybko każda ma być naprawiona, i sprawdzasz, że została. Jest to cykl, który się powtarza, z listą zasobów na początku i zapisem na końcu.

NIS2 wymienia obsługę podatności jako część bezpieczeństwa przy nabywaniu, rozwoju i utrzymaniu i nie podaje terminu na poprawkę. DORA wymienia skany podatności wśród testów, które wykonuje instytucja finansowa. CRA dokłada obowiązek producentów produktów: aktualizacje bezpieczeństwa bez zwłoki. Czasy docelowe ustalasz sam, a dowodem jest to, że je ustaliłeś i dotrzymałeś.

Zacznij od tego, co jest wystawione do internetu, bo to jest dostępne dla obcych. Potem rozszerz na serwery, laptopy i urządzenia sieciowe. Ustal czas docelowy dla każdej dotkliwości, przypisz każde ustalenie do właściciela i co kwartał patrz, co jest po terminie.

podstawa NIS2 art. 21(2)(e). Zakres, rytm i czasy docelowe są praktyką.

cykl zarządzania podatnościami

1lista zasobówto, co działa, w tym to, co wystawione do internetu
2skanlista jest sprawdzana pod kątem znanych luk w ustalonym rytmie
3uszeregowaniewedług dotkliwości i prawdopodobieństwa wykorzystania luki
4naprawa lub akceptacjawłaściciel naprawia w czasie docelowym albo zapisuje ryzyko z datą końca
5raportco zamknięto i co jest po terminie

powtarzaj w ustalonym rytmie i wnioski wpisuj z powrotem na listę zasobów

podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

przykład

Wyobraź sobie firmę z 200 osobami, która co miesiąc uruchamia skaner.

słabo

Skaner jest skierowany na serwery, o których ktoś pamiętał. Raport ma tysiące wierszy i nie ma właściciela. Starego serwera testowego, wystawionego do internetu, w nim nie ma, a to właśnie on jest używany.

solidnie

Lista zasobów zasila skaner, systemy wystawione do internetu skanuje się najpierw, a każde ustalenie ma właściciela i czas docelowy według dotkliwości. Przeterminowane pozycje widać w raporcie kwartalnym, a każde zaakceptowane ryzyko ma powód i datę końca.

To ilustracja, a nie opis prawdziwego przypadku.

co musi robić dla każdego przepisu

przepis	gdzie	czego wymaga tekst	co musi robić zabezpieczenie
NIS2	NIS2 art. 21(2)(e)	Bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu systemów, w tym obsługa i ujawnianie podatności.	Prowadź listę tego, co używasz, skanuj ją w ustalonym rytmie, ustal czasy docelowe według dotkliwości i zapisuj, co naprawiono.
IR 2024/2690	IR 2024/2690 załącznik 6.6	Wymienieni dostawcy usług cyfrowych: zarządzanie poprawkami bezpieczeństwa.	Spisz proces łatania: kto decyduje i czym poprawka pilna różni się od zwykłej.
DORA	DORA art. 25(1)	Testy takie jak skany podatności, oceny sieci i testy scenariuszowe.	Skanuj systemy, które wspierają funkcje krytyczne, i przechowuj wyniki razem z podjętymi działaniami.
CRA	CRA załącznik I część II	Producenci: aktualizacje bezpieczeństwa bez zwłoki, regularne testy bezpieczeństwa i publiczna informacja o naprawionych podatnościach.	Jeśli wytwarzasz produkt, zaplanuj sposób dostarczania poprawek i informowania o nich. Jeśli go kupujesz, zapytaj dostawcę, jak to robi.
RODO	RODO art. 32(1)(d)	Proces regularnego testowania, czy środki bezpieczeństwa działają.	Policz skan i jego następstwa jako część tego procesu dla systemów z danymi osobowymi.

podstawa NIS2 art. 21(2)(e); IR 2024/2690 załącznik 6.6 jako punkt odniesienia; DORA art. 25(1); CRA załącznik I część II; RODO art. 32(1)(d). To, co zabezpieczenie ma robić, jest praktyką.

na co patrzeć przy wyborze

Czy obejmuje wszystko, co działa w firmie: serwery, laptopy, urządzenia sieciowe, usługi w chmurze i zainstalowane na nich oprogramowanie, także maszyny, do których go nie skonfigurowano?
Czy widzi to, co jest wystawione do internetu, z zewnątrz, i to, co jest w sieci wewnętrznej?
Czy potrafi uszeregować ustalenia według tego, jak prawdopodobne jest wykorzystanie luki, oprócz oceny technicznej?
Czy możesz ustawić czas docelowy dla każdej dotkliwości i dostać raport tego, co go przekroczyło?
Czy każde ustalenie trafia do wskazanego właściciela, ze statusem i datą, w narzędziu, którego zespół IT już używa?
Co dzieje się z maszyną, która jest wyłączona, w podróży albo w segmencie, do którego skaner nie sięga?
Czy możesz zapisać zaakceptowane ryzyko z powodem, właścicielem i datą końca?
Jak długo przechowuje historię i czy da się ją wyeksportować na potrzeby audytu?

podstawa praktyka

trzy poziomy, od pierwszego kroku do mocnego

Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.

start
Skanuj to, co jest wystawione do internetu, daj każdemu ustaleniu właściciela i zapisz czas docelowy dla każdej dotkliwości.
solidnie
Zasilaj skaner z listy zasobów, co kwartał raportuj, co jest po terminie, i daj każdemu zaakceptowanemu ryzyku powód, właściciela i datę końca.
mocno
Szereguj według prawdopodobieństwa wykorzystania luki oprócz oceny, obejmij maszyny wyłączone lub w podróży i raz w roku sprawdzaj, czy skan naprawdę sięga wszystkiego z listy.

podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

gdzie się psuje

skan, którego nikt nie czyta

Raport z tysiącami ustaleń i bez właściciela pokazuje tylko, że spojrzano. Uszereguj, przypisz i zamykaj, zaczynając od tego, co jest wystawione do internetu.

lista zasobów jest nieaktualna

Skaner widzi tylko to, na co go skierowano. Zapomniane serwery i stare systemy testowe to miejsca, w których siedzą stare luki.

cele bez liczb

Polityka, która mówi, że krytyczne luki naprawia się szybko, bez liczby i bez raportu na jej tle, nie da się sprawdzić.

zaakceptowane ryzyka bez końca

Zostawienie luki otwartej bywa uczciwą decyzją. Bez właściciela i daty przeglądu staje się decyzją na stałe, o której nikt nie pamięta.