Управление исправлениями
Поддерживайте системы и программное обеспечение в актуальном состоянии с помощью исправлений безопасности.
Тема Управление исправлениями определена результатом NIST CSF 2.0: PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 и NIS2. Редакционные материалы Сопоставлено редакторски в SOC 2, Essential Eight, DORA и Cyber Essentials. Только косвенная связь в HIPAA. Нет сопоставления в наших данных В наших данных нет сопоставления для GDPR и CPS 234.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Определение темы | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | Соответствия | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | Соответствия | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | Редакционные материалы | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | Соответствия | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | Соответствия | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | Соответствия | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (PR.PS-02) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| GDPR | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование GDPR не сопоставлено с этой темой. |
| NIS2 | 6.6 | Security patch management | Соответствия | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | Редакционные материалы | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | Редакционные материалы | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CPS 234 не сопоставлено с этой темой. |
| Cyber Essentials | CE 3 | Security Update Management | Редакционные материалы | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Управление исправлениями»
Управление исправлениями — это систематический процесс выявления, тестирования и развёртывания обновлений безопасности для операционных систем, приложений, микропрограмм и стороннего программного обеспечения с целью устранения известных уязвимостей. Сроки различаются в зависимости от стандарта: PCI DSS требует устанавливать критические исправления безопасности и исправления с высокой степенью серьёзности в течение одного месяца с момента выпуска (6.3.3), Essential Eight устанавливает фиксированные сроки в зависимости от уровня зрелости, а большинство других стандартов предлагают определять сроки на основе оценки рисков и тестировать исправления до внедрения в производственную среду. Инструменты автоматизированного управления исправлениями в сочетании с точными инвентарными описями активов помогают обеспечить полный охват и сократить период подверженности известным эксплойтам.