Managementul vulnerabilităților NIS 2 conform Articolului 21(2)(e)
Managementul vulnerabilităților are două laturi conform NIS 2. Cum gestionați slăbiciunile din propriile sisteme. Și cum gestionați slăbiciunile pe care oamenii vi le raportează. Articolul 21(2)(e) este locul unde stă obligația, CIR (UE) 2024/2690 §6.10 detaliază specificitățile pentru furnizorii digitali pe care îi acoperă, iar §30(2)(5) BSIG transpune obligația în legea germană.
Pe scurt
Managementul vulnerabilităților este punctul (e) din lista Articolului 21(2). CIR intitulează secțiunea sa corespunzătoare 'Gestionarea și divulgarea vulnerabilităților'. Acel titlu este indiciul. NIS 2 se preocupă de două lucruri deodată: slăbiciunile care stau în sistemele pe care le operați și slăbiciunile pe care le găsesc persoane din afară în produsele dvs. și vor să vi le spună.
Pentru furnizorii digitali pe care îi acoperă, CIR §6.10 stabilește cinci acțiuni. Aduceți informații despre vulnerabilități de la CSIRT-uri, autorități, vânzători și furnizori de servicii. După caz, rulați scanări de vulnerabilități și înregistrați rezultatele la intervale planificate. Remediați-le pe cele critice fără întârziere nejustificată. Legați gestionarea vulnerabilităților de procesele dvs. de schimbare, patch-uri, risc și incidente. Și stabiliți o procedură de divulgare coordonată a vulnerabilităților (CVD) care se aliniază cu politica națională CVD.
Germania numește gestionarea și divulgarea vulnerabilităților pentru fiecare entitate în §30(2)(5) BSIG, fără a prescrie forma. BSI este coordonatorul național pentru divulgarea coordonată a vulnerabilităților (§5(1) BSIG) și o desfășoară prin CERT-Bund. NIS 2 în sine stabilește de asemenea o bază de date europeană a vulnerabilităților conform Articolului 12, operată de ENISA, în care entitățile pot divulga în mod voluntar.
Articolul 21(2)(e) Directiva NIS 2 (2022/2555)
Securitatea în achiziționarea, dezvoltarea și întreținerea rețelelor și a sistemelor informatice, inclusiv gestionarea vulnerabilităților și divulgarea acestora.
Punctul (e) din lista celor zece măsuri. Observați încadrarea: gestionarea și divulgarea vulnerabilităților stau în interiorul unei obligații mai largi privind achiziția, dezvoltarea și întreținerea. CIR împarte asta în puncte separate (6.1 achiziția, 6.10 vulnerabilități).
CIR (UE) 2024/2690, Anexa §6.10
Entitățile relevante obțin informații cu privire la vulnerabilitățile tehnice din rețelele și sistemele lor informatice, evaluează expunerea lor la astfel de vulnerabilități și iau măsurile adecvate pentru gestionarea vulnerabilităților.
Drept UE direct obligatoriu pentru tipurile de entități enumerate la art. 1 CIR (DNS, TLD-uri, cloud, centre de date, MSP-uri, servicii de încredere și celelalte). §6.10.2 listează cinci acțiuni concrete. §6.10.3 spune că atunci când săriți peste atenuare, notați de ce. §6.10.4 spune că revizuiți la intervale planificate canalele pe care le folosiți pentru a monitoriza informațiile despre vulnerabilități.
§30(2)(5) BSIG (Germania)
Măsuri de securitate pentru achiziția, dezvoltarea și întreținerea sistemelor, componentelor și proceselor de tehnologie a informației, inclusiv managementul și divulgarea vulnerabilităților.
Germania copiază textul UE. Cadrul național CVD trece prin programul de divulgare coordonată CERT-Bund de la BSI, ceea ce indică în Germania 'aliniat cu politicile naționale CVD aplicabile' din CIR §6.10.2(e).
Aduceți informația înăuntru
Urmăriți informațiile despre vulnerabilități de la CSIRT-uri, autorități, vânzători și furnizori de servicii. Rulați scanări de vulnerabilități la o cadență corespunzătoare mediului dvs. Instrumentele de scanare (Tenable, Qualys, Nessus, OpenVAS) sunt latura de inginerie. Fluxurile (buletinul informativ CERT-Bund, avizele vânzătorilor, NVD) sunt latura de conștientizare. Aveți nevoie de ambele.
Remediați-le pe cele critice, documentați restul
Vulnerabilitățile critice sunt remediate fără întârziere. Gestionarea vulnerabilităților trebuie să se conecteze la managementul dvs. de schimbare, managementul de patch-uri, managementul riscului și managementul incidentelor. Acolo unde decideți să nu atenuați, §6.10.3 spune că creați un plan de atenuare documentat sau notați de ce nu este necesară nicio acțiune. Fără un backlog tăcut.
Rulați un proces de divulgare coordonată
Stabiliți o procedură pentru primirea rapoartelor de vulnerabilități de la persoane din afară și coordonarea divulgării lor, aliniată cu politica națională CVD aplicabilă. Mecanica minimă: un canal de contact publicat (căsuța de e-mail security@ sau un fișier security.txt), un SLA de confirmare, o cronologie de remediere și o publicare publică coordonată. CERT-Bund va media dacă este nevoie.
Periodic, nu reactiv
Punctul 6.10.2(b) cere, după caz, scanări de vulnerabilități cu rezultatele înregistrate la intervale planificate, iar punctul 6.10.4 cere ca canalele de monitorizare să fie revizuite la intervale planificate. Pentru entitățile acoperite de CIR, asta înseamnă o cadență scrisă: documentați cât de des scanați și cât de des revizuiți lista de fluxuri și respectați-o. Niciun text nu stabilește intervalul.
Divulgarea face parte din obligație
§ 30(2) Nr. 5 BSIG și art. 21(2)(e) NIS 2 numesc divulgarea vulnerabilităților alături de gestionarea lor, pentru fiecare entitate. Pentru furnizorii digitali acoperiți de CIR, punctul 6.10.2(e) cere o procedură conformă cu politica națională de divulgare coordonată. O configurare minimă: o căsuță poștală security@ pe care o citește cineva, o politică scurtă și un fișier security.txt care indică spre ea.
BSI / programul CVD CERT-Bund
BSI rulează CERT-Bund, CSIRT-ul federal, și operează un program de divulgare coordonată a vulnerabilităților. Cercetătorii pot raporta prin CERT-Bund, iar BSI va coordona cu vânzătorii afectați. § 5(1) BSIG face din BSI coordonatorul național pentru divulgarea coordonată a vulnerabilităților conform art. 12(1) NIS 2. Dacă stabiliți un proces de divulgare pentru prima dată, ghidul CVD al BSI este un model bun.
Baza de date europeană a vulnerabilităților (Articolul 12 NIS 2)
Articolul 12 NIS 2 stabilește o bază de date europeană a vulnerabilităților operată de ENISA. Entitățile pot divulga vulnerabilități în ea în mod voluntar. Nu este un canal de raportare obligatoriu conform Articolului 23. Este o resursă de referință la nivelul UE care agregează informații despre vulnerabilități în statele membre.
CSIRT-uri naționale ca coordonatori CVD
Fiecare stat membru desemnează unul dintre CSIRT-urile sale drept coordonator pentru divulgarea coordonată a vulnerabilităților (art. 12(1) NIS 2). Legile naționale pot merge mai departe decât directiva (art. 5), așa că verificați textul național; diferă și CSIRT-ul cu care vorbiți și modul în care funcționează coordonarea sa.
Aplicăm patch-uri de Patch Tuesday, asta este suficient.
Nu pentru furnizorii digitali acoperiți de CIR: punctul 6.10.2(c) spune că vulnerabilitățile critice sunt abordate fără întârziere nejustificată. Patch Tuesday este o cadență de lansare a vânzătorului. Un zero-day divulgat într-o zi de joi cu exploatare activă nu așteaptă până marțea viitoare. O cadență de aplicare a patch-urilor pentru remedierile de rutină plus un proces în afara benzii pentru problemele critice le acoperă pe ambele.
Nu avem un proces CVD pentru că nimeni nu ne raportează vreodată vulnerabilități.
Pentru furnizorii digitali acoperiți de CIR, punctul 6.10.2(e) cere procedura de la început, nu abia după ce sosesc rapoartele. Pentru toți ceilalți, divulgarea este numită în § 30(2) Nr. 5 BSIG, fără o formă prescrisă. O căsuță security@ și o politică de o pagină sunt oricum un pas mic și rezonabil.
Scanarea vulnerabilităților este treaba echipei de securitate.
Este, până citiți §6.10.2(d): gestionarea vulnerabilităților trebuie să fie consecventă cu managementul de schimbare, managementul de patch-uri, managementul riscului și managementul incidentelor. Asta face din managementul vulnerabilităților un proces între echipe care atinge operațiunile IT, dezvoltarea și riscul, nu o activitate de securitate izolată.
Latura divulgării este jumătatea subdocumentată. Un minim realist: o căsuță security@domeniuldvs.com direcționată către două persoane, o politică de divulgare de o pagină și un fișier security.txt la /.well-known/security.txt care indică spre căsuță. Pentru termene, ghidul CVD al BSI se așteaptă ca un furnizor să confirme un raport în trei zile lucrătoare și acordă 45 până la 90 de zile pentru remediere, intervalul uzual la nivel internațional.
- Directiva (UE) 2022/2555 (NIS 2), Articolul 12 și Articolul 21(2)(e). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regulamentul de punere în aplicare al Comisiei (UE) 2024/2690 (CIR), Anexa §6.10. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Legea BSI (BSIG), §30(2)(5) astfel cum a fost modificată prin Legea de punere în aplicare a NIS2 și de consolidare a securității cibernetice
- BSI / programul de divulgare coordonată a vulnerabilităților CERT-Bund. bsi.bund.de
- Baza de date europeană a vulnerabilităților ENISA (Articolul 12 NIS 2)
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Procurement & Development
Write the rules for buying, updates and vulnerabilities
What you check when buying, how updates arrive and who closes gaps.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
