Gestão de Patches
Mantenha sistemas e softwares atualizados com patches de segurança.
Gestão de Patches é definido pelo resultado do NIST CSF 2.0 PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 e NIS2. Editorial Mapeado editorialmente em SOC 2, Essential Eight, DORA e Cyber Essentials. Apenas vagamente relacionado em HIPAA. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para GDPR e CPS 234.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Definição do tópico | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | Correspondência | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | Correspondência | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | Correspondência | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | Correspondência | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | Correspondência | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | Não mapeado para este tema | Esses requisitos compartilham apenas os resultados do CSF deste tópico (PR.PS-02) por meio de crosswalks publicados: vale verificar, mas não é um mapeamento. | |
| GDPR | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de GDPR está mapeado para este tema em nossos dados. |
| NIS2 | 6.6 | Security patch management | Correspondência | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | Editorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | Editorial | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de CPS 234 está mapeado para este tema em nossos dados. |
| Cyber Essentials | CE 3 | Security Update Management | Editorial | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Gestão de Patches
A gestão de patches é o processo sistemático de identificar, testar e implantar atualizações de segurança em sistemas operacionais, aplicações, firmware e softwares de terceiros, a fim de remediar vulnerabilidades conhecidas. Os prazos variam conforme o framework: o PCI DSS exige que patches de segurança de severidade crítica e alta sejam aplicados em até um mês após a liberação (6.3.3), o Essential Eight define prazos fixos de acordo com o nível de maturidade, e a maioria dos demais pede que você defina prazos baseados em risco e teste os patches antes da produção. Ferramentas automatizadas de gestão de patches, combinadas com inventários de ativos precisos, ajudam a garantir cobertura abrangente e reduzem a janela de exposição a explorações conhecidas.