Gestione delle patch
Mantenere aggiornati sistemi e software con le patch di sicurezza.
Gestione delle patch è definito dall'esito PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk) di NIST CSF 2.0. Crosswalk Mappato tramite un crosswalk pubblicato in ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 e NIS2. Redazione Mappato in modo editoriale in SOC 2, Essential Eight, DORA e Cyber Essentials. Solo debolmente correlato in HIPAA. Nessuna mappatura nei nostri dati Nessuna mappatura nei nostri dati per GDPR e CPS 234.
| Framework | Requisito | Titolo | Collegamento | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Definizione dell'argomento | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | Crosswalk | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | Crosswalk | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | Redazione | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | Crosswalk | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | Crosswalk | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | Crosswalk | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | Non mappato su questo argomento | Questi requisiti condividono solo gli esiti CSF di questo argomento (PR.PS-02) tramite crosswalk pubblicati: da verificare, non è una mappatura. | |
| GDPR | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di GDPR è mappato su questo argomento nei nostri dati. |
| NIS2 | 6.6 | Security patch management | Crosswalk | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | Redazione | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | Redazione | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di CPS 234 è mappato su questo argomento nei nostri dati. |
| Cyber Essentials | CE 3 | Security Update Management | Redazione | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
Definizione dell'argomento Risultati CSF 2.0 che definiscono questo tema · Crosswalk almeno una scelta supportata da una tabella di corrispondenza pubblicata · Redazione Giudizio di ControlMapping, con la motivazione · non mappato, condivide solo gli esiti CSF di questo argomento · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Metodologia.
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Mappatura errata o mancante? Segnalalo
Informazioni su Gestione delle patch
La gestione delle patch è il processo sistematico di identificazione, test e distribuzione degli aggiornamenti di sicurezza per sistemi operativi, applicazioni, firmware e software di terze parti, al fine di porre rimedio alle vulnerabilità note. Le scadenze variano in base al framework: PCI DSS richiede che le patch di sicurezza critiche e ad alta gravità siano applicate entro un mese dal rilascio (6.3.3), l'Essential Eight fissa tempistiche predefinite in funzione del livello di maturità, mentre la maggior parte degli altri framework chiede di definire tempistiche basate sul rischio e di testare le patch prima dell'ambiente di produzione. Gli strumenti automatizzati di gestione delle patch, combinati con inventari accurati degli asset, aiutano a garantire una copertura completa e a ridurre la finestra di esposizione agli exploit noti.