Przejdź do głównej zawartości

8.8 Zarządzanie podatnościami technicznymi

W skrócie: organizacja dowiaduje się o podatnościach w swoich systemach, ocenia, które są groźne, i usuwa je lub ogranicza w rozsądnym czasie.

Cel: zapobieganie wykorzystaniu podatności technicznych.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Identify (identyfikacja), #Protect (ochrona)
Zdolności operacyjne#Threat_and_vulnerability_management (zarządzanie zagrożeniami i podatnościami)
Domeny bezpieczeństwa#Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona), #Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Podstawą jest inwentarz aktywów (5.9) z informacjami o dostawcy, wersji, miejscu instalacji i osobie odpowiedzialnej — bez niego nie wiadomo, czego podatność dotyczy.
  • Identyfikacja: przypisanie ról (monitorowanie, ocena ryzyka, aktualizacje), źródła informacji o podatnościach, wymaganie od dostawców informacji o podatnościach i ich obsłudze, narzędzia skanujące, testy penetracyjne.
  • Organizacja ma politykę ujawniania podatności i punkt kontaktowy dla zgłoszeń z zewnątrz, także przez programy bug bounty.
  • Ocena: po wykryciu podatności ocenia się ryzyko i decyduje o działaniu, w tym o pilności. Organizacja ustala terminy reakcji.
  • Działania: instalacja łatek z wiarygodnych źródeł po przetestowaniu i ocenie (8.19, 8.32). Gdy łatki nie ma — obejścia, wyłączenie usług, zmiana konfiguracji, dodatkowe monitorowanie, filtrowanie ruchu, budowanie świadomości.
  • Systemy wysokiego ryzyka obsługuje się w pierwszej kolejności. Wszystkie kroki rejestruje się w dzienniku audytu.
  • Proces regularnie się monitoruje i ocenia, a łączy go z zarządzaniem incydentami — by przekazywać dane o podatnościach zespołowi reagowania.
  • W usługach chmurowych organizacja ustala z dostawcą, jak zarządza on podatnościami i jak raportuje o nich klientowi.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Priorytetyzacja nie tylko po CVSS: także EPSS (prawdopodobieństwo wykorzystania) i obecność na liście CISA KEV.
  • Docelowe terminy według krytyczności (np. krytyczne w ciągu dni, wysokie w ciągu tygodni) zapisane w polityce i mierzone.
  • Skanery podatności infrastruktury (OpenVAS, Nessus) i zależności aplikacji (Dependabot, Trivy, OSV-Scanner).
  • Plik security.txt i strona z polityką zgłaszania podatności.

Powiązania​