VM ломается не на сканере, а на людях: роли, регламенты и SLA

[AcousticBoy]

Про конфликт двух регламентов. Если система государственная, это уже не только вопрос договорённости ИБ с ИТ.

Приказ 117, п. 39: сроки применения обновлений «устанавливаются во внутреннем регламенте по защите информации в зависимости от сроков устранения уязвимостей соответствующих уровней опасности». Получается, если в регламенте обновлений стоит 90 дней, а критические уязвимости закрываются за 24 часа, то ломается уже само требование пункта: сроки обновлений должны выводиться из сроков устранения, а не жить отдельной жизнью. Стыковка двух документов тут вторична.

Из того же п. 38: если уязвимость нашли, а в БДУ её нет, есть встречная обязанность отправить сведения во ФСТЭК за 5 рабочих дней. Про БДУ помнят как про источник, откуда берут.

[Hima_Hahahai]

Спасибо за дополнение. Согласен, для государственных ИС требования Приказа 117 обязательно нужно учитывать. Но, на мой взгляд, здесь важно разделять сроки устранения уязвимости и плановый цикл установки обновлений. Если критичная уязвимость устраняется внеплановым обновлением или компенсирующими мерами в установленный срок, а 90 дней - это регламент планового патч-менеджмента, то противоречия не возникает. Поэтому сам по себе срок плановой установки обновлений еще не означает несоответствие п. 39 - всё зависит от того, каким образом организация обеспечивает соблюдение сроков устранения уязвимостей.

[AcousticBoy]

Справедливо, я сформулировал слишком широко.

Пункт 38 и правда даёт альтернативу прямым текстом: «устранение уязвимостей... или исключение возможности их использования за счёт применения компенсирующих мер». Патч в 24 часа не обязателен, если риск закрыт иначе.

Добавлю в вашу пользу: п. 39 привязывает сроки обновлений к срокам устранения «и рисков, связанных с применением обновлений». Риск самого патча норма учитывать разрешает, так что плановый цикл имеет право быть длиннее.

Тогда вопрос возвращается туда, где он у вас в статье и стоял. Связь между двумя регламентами должна быть где-то прописана.