Gestion des correctifs
Maintenir les systèmes et logiciels à jour avec les correctifs de sécurité.
Gestion des correctifs est défini par le résultat NIST CSF 2.0 PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 et NIS2. Éditorial Mis en correspondance de manière éditoriale dans SOC 2, Essential Eight, DORA et Cyber Essentials. Seulement faiblement liés dans HIPAA. Aucune correspondance dans nos données Aucune correspondance dans nos données pour GDPR et CPS 234.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Définition du sujet | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | Correspondance | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | Correspondance | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | Éditorial | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | Correspondance | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | Correspondance | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | Correspondance | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.PS-02) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 6.6 | Security patch management | Correspondance | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | Éditorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | Éditorial | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CPS 234 n'est mise en correspondance avec ce thème dans nos données. |
| Cyber Essentials | CE 3 | Security Update Management | Éditorial | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Gestion des correctifs
La gestion des correctifs est le processus systématique d'identification, de test et de déploiement des mises à jour de sécurité pour les systèmes d'exploitation, les applications, les micrologiciels et les logiciels tiers, afin de remédier aux vulnérabilités connues. Les délais varient selon le référentiel : la norme PCI DSS exige l'application des correctifs de sécurité de criticité critique et élevée dans un délai d'un mois suivant leur publication (6.3.3), l'Essential Eight fixe des délais selon le niveau de maturité, et la plupart des autres référentiels demandent de définir des délais fondés sur les risques et de tester les correctifs avant leur mise en production. Les outils automatisés de gestion des correctifs, combinés à des inventaires d'actifs précis, contribuent à garantir une couverture complète et à réduire la fenêtre d'exposition aux exploits connus.