CISA KEV juhtimine ISO 27001, NIS2 ja DORA nõuete kontekstis

Reedene haavatavus, millest sai juhatuse küsimus

Reedel kell 16:40 edastab SOC-i juht CISA KEV teavituse, haavatavuste skanner kinnitab kokkupuute internetile avatud lüüsis ning ENISA EUVD sisaldab vastavat ärakasutatud haavatavuse kirjet. Tarnija on paiga avaldanud, kuid tootmiskeskkonna omanik hoiatab, et selle viivitamatu rakendamine võib häirida kliendile suunatud teenust. Õigusosakond küsib, kas mõjutatud võivad olla isikuandmed. DORA vastutaja küsib, kas platvorm toetab kriitilist või olulist funktsiooni. NIS2 koordinaator küsib, kas sellest võib kujuneda oluline intsident.

Infoturbejuht esitab ainsa küsimuse, mis loeb:

“Kas me suudame tõendada, et tegime õige otsuse piisavalt kiiresti ja õigete heakskiitudega?”

See on 2026. aastal teadaolevalt ärakasutatud haavatavuste juhtimise tegelik probleem. Küsimus ei ole ainult CVE-de tuvastamises ega paikade kiiremas juurutamises. Küsimus on ärakasutusteabe muutmises õiguslikult ja auditi seisukohalt kaitstavaks toimimismudeliks: vastuvõtt, esmane hindamine ja prioriseerimine, erakorraline muudatus, kompenseerivad kontrollimeetmed, tarnija eskaleerimine, erandi heakskiitmine, tõendusmaterjali säilitamine, juhtkonna aruandlus ning regulaatorile sobivad parandusmeetmete otsused.

Paljudel organisatsioonidel on juba haavatavuste SLA-d. Mõnel on ohuteabe vood. Vähesed juhivad kokkupuudet pidevalt. Kui haavatavust on aga juba tegelikkuses ära kasutatud, muutub riskikontekst. CISA KEV või ENISA EUVD loendis olev teadaolevalt ärakasutatud haavatavus ei tohi jääda samasse järjekorda tavapärase paikamise tööjärjega. See peab käivitama eraldi juhtimistee, sest risk ei ole enam teoreetiline.

Clarysec’i seisukoht on lihtne: ärakasutusest lähtuvat parandamist tuleb juhtida tõendusmaterjali loova äriprotsessina, mitte mitteametliku tehnilise rabelemisena. Selle protsessi saab üles ehitada ISO/IEC 27001:2022 ISO/IEC 27001:2022 alusel, tugevdada ISO/IEC 27002:2022 ISO/IEC 27002:2022 abil ning seostada NIS2, DORA, GDPR, NIST CSF 2.0 ja COBIT 19 juhtimisootustega.

Paikamisest tõendatava juhtimiseni

Traditsiooniline haavatavuste haldus algab sageli tõsidusest: CVSS skoor, vara kriitilisus, kokkupuude ja paiga olemasolu. Ärakasutusest lähtuv juhtimine lisab täpsema küsimuse: kas ründajad kasutavad seda haavatavust juba ära ning kas meil on mõjutatud varasid, tarnijaid, pilveteenuseid või andmevooge?

See nihe muudab töövoogu. Teadaolevalt ärakasutatud haavatavus peab käivitama:

1. Ohuteabe valideerimise usaldusväärsetest allikatest, nagu CISA, ENISA, riiklikud CERT-id, tarnijad, ISAC-id ja MSSP-d.
2. Varade seostamise, sealhulgas internetikokkupuute, ärifunktsiooni, andmete klassifitseerimise ja tarnijasõltuvuse.
3. Erakorralise riskiotsuse, sealhulgas otsuse paigata kohe, isoleerida, funktsioon keelata, rakendada ajutine lahendus, seirata või jääkrisk ajutiselt aktsepteerida.
4. Muudatuse heakskiitmise koos jälgitavusega, ka siis, kui muudatus viiakse läbi kiirendatud korras.
5. Tõendusmaterjali kogumise, sealhulgas ajatemplid, heakskiidud, logid, ekraanitõmmised, skannitulemused, tarnija avaldused ja kompenseerivate kontrollimeetmete kirjed.
6. Juhtkonna aruandluse, eriti kui haavatavus mõjutab kriitilisi teenuseid, isikuandmeid, reguleeritud finantsteenuseid või NIS2 tähenduses olulisi või tähtsaid teenuseid.
7. Parandusmeetmete järgse valideerimise ja õppetundide kogumise.

ISO 27001:2022 annab sellele töövoole juhtimisraamistiku. Punktid 4.1 kuni 4.4 nõuavad, et organisatsioon mõistaks sisemisi ja väliseid teemasid, huvitatud pooli, õiguslikke ja regulatiivseid nõudeid, liideseid ja sõltuvusi ning määratleks ja hoiaks ajakohasena ISMS-i kohaldamisala. Haavatavuste juhtimises tähendab see, et kohaldamisala peab hõlmama tegelikke süsteeme, pilveteenuseid, kolmandaid osapooli ja reguleeritud teenuseid, kus ärakasutatud haavatavusega kokkupuude võib põhjustada ärimõju.

Punktid 5.1 kuni 5.3 viivad teema IT-operatsioonidest kaugemale. Tippjuhtkond peab viima ISMS-i kooskõlla strateegilise suunaga, määrama vastutused, eraldama ressursid, kommunikeerima vastavuse olulisust ja saama toimivusaruandlust. Praktikas ei ole CISA KEV leid kriitilises teenuses üksnes paikamispilet. See on juhtkonna vastutuse sündmus.

Punktid 6.1.1 kuni 6.1.3 annavad riskijuhtimise selgroo: riskikriteeriumid, riskiomanikud, tõenäosuse ja tagajärje hindamine, käsitlusvariandid, kohaldatavuse deklaratsioon, riski käsitlemise plaan ja jääkriski aktsepteerimine. See on mehhanism, mis muudab väite “me ei saanud veel paigata” dokumenteeritud, heakskiidetud ja ajaliselt piiratud erandiks koos kompenseerivate kontrollimeetmetega.

Punkt 8.1 muutub oluliseks siis, kui meeskond liigub otsuselt teostusele. See nõuab tegevuse planeerimist ja ohjet, sealhulgas kavandatud muudatuste kontrolli ning soovimatute muudatuste läbivaatamist. KEV sündmuse korral peab organisatsioon tegutsema kiiresti, kuid mitte kontrollimatult.

Clarysec’i kontrollimeetmete kolmnurk ärakasutatud haavatavuste jaoks

Clarysec’i Zenith Controls: ristvastavuse käsiraamat Zenith Controls käsitleb teadaolevalt ärakasutatud haavatavuste juhtimist kolme keskse ISO/IEC 27002:2022 kontrollimeetmete teema kombinatsioonina. Selles viidatakse teemaga seotud kontrollimeetmetele kui “ohuteave (5.7)”, “tehniliste haavatavuste haldus (8.8)” ja “muudatuste haldus (8.32)”.

Koos moodustavad need kontrollimeetmed praktilise kolmnurga:

See kolmnurk hoiab ära levinud auditipuuduse: haavatavuste haldust käsitletakse skanneri väljundina, mitte juhitud otsustusahelana. Audiitor, regulaator või kliendikindluse meeskond ei küsi ainult, kas paik rakendati. Nad küsivad, kuidas organisatsioon haavatavusest teada sai, kuidas seda prioriseeriti, heaks kiideti, rakendati ja kontrolliti.

Zenith Blueprint: audiitori 30-sammuline teekaart Zenith Blueprint muudab selle konkreetseks etapis „Kontrollimeetmed tegevuses“, samm 22, kus meeskondadel palutakse luua ohuteabe register:

Koosta dokumenteeritud loend ohuteabe allikatest (5.7), sealhulgas tarnijad, ISAC-id või avatud allikad, ning määra, kuidas teavet valideeritakse ja otsustusprotsessi integreeritakse. Määra, kes saab ohuteavitusi ja kuidas neid rakendatakse (nt paikamise prioritiseerimine, teadlikkuse koolitus).

Sammus 19 käsitleb Zenith Blueprint haavatavuste haldust tänapäevase küberhügieeni osana ja rõhutab kriitiliste haavatavuste kiirendatud parandamist:

Haavatavuste haldamine on tänapäevase küberhügieeni üks kriitilisemaid valdkondi. Kuigi tulemüürid ja viirusetõrjevahendid pakuvad kaitset, võivad need muutuda ebatõhusaks, kui paikamata süsteemid või väärkonfigureeritud teenused jäävad avatuks.

Samuti hoiatatakse, et skannileide ei tohi passiivselt arhiveerida. Need tuleb läbi hinnata, määrata vastutajale ja jälgida sulgemiseni. Just sellist distsipliini nõuab CISA KEV ja ENISA EUVD juhtimine.

Poliitika muudab kiireloomulisuse reegliteks

Juhtimismudel toimib ainult siis, kui see kajastub poliitikas. Clarysec’i ettevõtetele mõeldud Haavatavuste ja paikade halduse poliitika Haavatavuste ja paikade halduse poliitika, millele tööriistakomplekti kontekstis viidatakse ka kui P19 Haavatavuste ja paikade halduse poliitika, määrab seire- ja eskaleerimisnõude selgelt:

Jälgi ohuteateid (nt CVE, CISA KEV, tarnijate turvateated) ja eskaleeri kriitilised haavatavused.

Jaotisest „Rollid ja vastutused“, poliitika punkt 4.5.1.

Sama ettevõttepoliitika määratleb kriitiliste haavatavuste jaoks range parandusmeetmete ootuse:

Kriitiline (CVSS 9.0-10.0): viivitamatu läbivaatamine; paikamise tähtaeg maksimaalselt 72 tundi.

Jaotisest „Juhtimisnõuded“, poliitika punkt 5.2.1.

VKE-dele mõeldud Clarysec’i Haavatavuste ja paikade halduse poliitika VKE-dele Haavatavuste ja paikade halduse poliitika VKE-dele, millele viidatakse ka kui P19S Haavatavuste ja paikade halduse poliitika VKE-dele, muudab sama kontseptsiooni tegevuslikuks ja otsekoheseks:

Usaldusväärsed ohuteabe teavitused (nt CISA, ENISA, riiklike CERT-ide teated)

Jaotisest „Poliitika rakendamise nõuded“, poliitika punkt 6.2.1.3.

See määrab ka praktilise paikamisstandardi:

Kriitilised paigad tuleb rakendada 3 päeva jooksul alates avaldamisest, eriti internetile avatud süsteemide puhul

Jaotisest „Poliitika rakendamise nõuded“, poliitika punkt 6.1.1.

Fraas „eriti internetile avatud süsteemide puhul“ on oluline. Teadaolevalt ärakasutatud haavatavuste juhtimine peab prioriseerima avatud süsteeme, kaugjuurdepääsu teenuseid, identiteeditaristut, servataristu seadmeid, SaaS-i halduspaneele ning tundlikke või reguleeritud andmeid töötlevaid süsteeme.

Aga mis juhtub siis, kui äritegevus ei saa SLA jooksul paigata? Ettevõttepoliitika sulgeb ringi:

Kui haavatavust ei saa määratud SLA-de jooksul kõrvaldada tegevuslike, tehniliste või tarnijast tulenevate piirangute tõttu, tuleb esitada ametlik eranditaotlus.

Jaotisest „Riskikäsitlus ja erandid“, poliitika punkt 7.1.

VKE-versioon nõuab paikamislogisid, mis toetavad auditeeritavust:

Logid peavad sisaldama seadme nime, rakendatud uuendust, paikamise kuupäeva ja iga viivituse põhjust

Jaotisest „Juhtimisnõuded“, poliitika punkt 5.4.2.

Need poliitikapunktid loovad tõendusmaterjali selgroo. Need võimaldavad infoturbejuhil öelda: meil on reeglid teabe vastuvõtuks, prioritiseerimiseks, paikamistähtaegadeks, eranditeks ja viivituste põhjendamiseks. See on erinevus reaktiivse paikamise ja juhitud parandamise vahel.

Erakorraline muudatus kontrolli kaotamata

Teadaolevalt ärakasutatud haavatavused sunnivad sageli tegema erakorralisi muudatusi. Järgmise muudatuste nõukoja koosoleku ootamine võib olla hooletu. Muudatuste juhtimisest täielik möödahiilimine võib olla hoolimatu. Õige vastus on kiirendatud ja jälgitav muudatuste kontroll.

Clarysec’i ettevõtetele mõeldud Muudatuste haldamise poliitika Muudatuste haldamise poliitika, millele viidatakse ka kui P05 Muudatuste haldamise poliitika, sätestab:

Erakorralised muudatused võivad toimuda volitatud rollide kiirendatud suulise või delegeeritud heakskiiduga.

Jaotisest „Poliitika rakendamise nõuded“, poliitika punkt 6.5.1.

VKE-dele mõeldud Clarysec’i Muudatuste haldamise poliitika Muudatuste haldamise poliitika VKE-dele tunnistab sama tegevuslikku tegelikkust:

Erakorralisi või plaaniväliseid muudatusi võib kriitiliste katkestuste või ohtude korral rakendada kohe. Kuid:

Jaotisest „Riskikäsitlus ja erandid“, poliitika punkt 7.4.1.

Sõna „kuid“ on koht, kus juhtimine tegelikult toimub. Erakorralise muudatuse puhul tuleb siiski dokumenteerida käivitav asjaolu, mõjutatud süsteemid, riskiotsus, heakskiitja, rakendamise aeg, valideerimistulemus ja tagasivaatav läbivaatamine. Zenith Blueprint, faas „Kontrollimeetmed tegevuses“, samm 21, kirjeldab muudatuste juhtimist korduva töövoona, kus muudatusi hinnatakse, autoriseeritakse, rakendatakse ja vaadatakse läbi. See hoiatab, et paljud intsidendid ei ole põhjustatud ründajatest, vaid halvasti juhitud muudatustest: liiga laialt avatud tulemüürireegel, sisselülitatuks jäetud silumisfunktsioon või pärast migreerimist unustatud sõltuvus.

Teadaolevalt ärakasutatud haavatavuse parandamisel peab minimaalne erakorralise muudatuse tõendusmaterjal sisaldama järgmist:

See ei ole bürokraatia. See on minimaalne elujõuline auditijälg otsusele, mis tehti vastase surve all.

CISA KEV ja ENISA EUVD seostamine ISO 27001 tõendusmaterjaliga

ISO 27001:2022 ei nõua kindlat ohuteabe allikat. See nõuab, et organisatsioon tuvastaks nõuded, juhiks riske, rakendaks kontrollimeetmeid, säilitaks dokumenteeritud teabe ja täiustaks. CISA KEV ja ENISA EUVD võivad muutuda selle juhtimissüsteemi autoriteetseteks sisenditeks.

Zenith Blueprint, riskijuhtimise faas, samm 13, soovitab tagada jälgitavuse riskide, kontrollimeetmete ja punktide vahel:

Viita regulatsioonidele ristviidetega: kui teatud kontrollimeetmed rakendatakse spetsiaalselt GDPR, NIS2 või DORA nõuete täitmiseks, võid selle märkida kas riskiregistrisse (riskimõju põhjenduse osana) või SoA märkustesse.

Teadaolevalt ärakasutatud haavatavuse puhul ei tohiks riskiregistri kirje öelda ainult „paiga CVE“. See peab tuvastama ohuallika, mõjutatud teenuse, regulatiivse asjakohasuse, riskiomaniku, käsitluse, kontrolliviited ja tõendusmaterjali asukoha.

NIS2, DORA, GDPR ja juhtimisaruandluse ristvastavuse kaardistus

Ärakasutusest lähtuva juhtimise väärtus seisneb selles, et üks kontrollitud töövoog suudab vastata mitmele regulatiivsele küsimusele. Sama pilet, muudatuskirje, erandivorm, tarnija e-kiri ja valideerimisskann võivad toetada eri tõendusnarratiive, kui need teadlikult kaardistatakse.

NIS2 muudab oluliste ja tähtsate üksuste arutelu, sest Article 20 muudab küberturvalisuse juhtorgani vastutuse küsimuseks. Article 21 nõuab asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ja organisatsioonilisi meetmeid, sealhulgas intsidentide käsitlemist, talitluspidevust, tarneahela turvet, haavatavuste käsitlemist ja avalikustamist, küberhügieeni, juurdepääsukontrolli, varahaldust ja autentimist.

Article 23 lisab oluliste intsidentide etapiviisilise teavitamise, sealhulgas varajase hoiatuse 24 tunni jooksul, teate 72 tunni jooksul ja lõpparuande ühe kuu jooksul pärast intsidenditeavitust. CISA KEV või ENISA EUVD leid ei ole automaatselt teatamiskohustuslik intsident. Kuid see peab käivitama dokumenteeritud intsidendi hindamise, kui ärakasutamine, teenusekatkestus, kliendikahju või andmemõju on usutav.

DORA lisab finantsüksuste jaoks sektoripõhise vaate. Seda kohaldatakse alates 17. jaanuarist 2025 ning see nõuab juhtimist, dokumenteeritud IKT-riski juhtimist, testimist, vastupidavust, intsidendihaldust ja IKT kolmanda osapoole riskikontrolli. Article 13 on eriti asjakohane, sest see nõuab võimekust haavatavuste ja küberohuteabe, õppetundide ning tehnoloogiliste arengute seire osas. Article 17 nõuab IKT-ga seotud intsidendihalduse protsessi, mis registreerib intsidendid ja olulised küberohud, liigitab need prioriteedi ja tõsiduse järgi, eskaleerib, tuvastab algpõhjused ja taastab turvalised toimingud.

DORA Articles 28 ja 30 nõuavad samuti tarnijadistsipliini. Kui makseplatvorm sõltub pilve WAF-ist, hallatud andmebaasist, identiteedipakkujast või SaaS-i töövoomootorist, mida mõjutab teadaolevalt ärakasutatud haavatavus, ei saa tõendusmaterjal piirduda lausega „tarnija ütleb, et paik on rakendatud“. See peab hõlmama tarnija teavitust, kriitilisuse hindamist, kasutatud lepingulisi õigusi, kompenseerivaid kontrollimeetmeid, kliendimõju hindamist ja parandusmeetmejärgset kontrolli.

GDPR lisab andmekeskse küsimuse. Article 32 nõuab töötlemise turvalisust, samas kui Article 5(2) loob vastutuse. Privaatsuse ülevaatus peab algama enne kinnitatud rikkumist, mitte alles pärast seda, kui andmete väljaviimine on tõendatud.

Praktiline KEV ja EUVD parandusmeetmete kirje

Vaatame realistlikku stsenaariumi. ENISA EUVD ja CISA KEV viitavad internetile avatud failiedastusteenust mõjutava haavatavuse aktiivsele ärakasutamisele. Teenus toetab kliendi sisseelamisprotsessi ja talletab piiratud hulgal isikuandmeid. Tarnijapaik on olemas, kuid rakenduse omanik taotleb hooldusakent ning üks seotud SaaS-komponent sõltub tarnija parandusmeetmest.

Loo haavatavuste juhtimise registrisse üks kirje järgmiste väljadega:

Seejärel rakenda Clarysec’i poliitikareegleid:

• Kasuta ettevõtetele mõeldud Haavatavuste ja paikade halduse poliitikat, kui juhid suuremat organisatsiooni formaalsete rollide, SLA-de ja eskaleerimisega.
• Kasuta VKE-dele mõeldud Haavatavuste ja paikade halduse poliitikat VKE-dele, kui vajad lihtsamat, kuid auditeeritavat mudelit.
• Kasuta ettevõtetele mõeldud Muudatuste haldamise poliitikat või VKE-de Muudatuste haldamise poliitikat, et dokumenteerida erakorraline heakskiit, testimine, juurutamine ja tagasivaatav läbivaatamine.
• Seo kirje riskiregistri ja kohaldatavuse deklaratsiooniga, nagu soovitatakse Zenith Blueprint sammus 13.
• Märgista kontrollimeetmed Zenith Controls raamistikus kui 5.7, 8.8 ja 8.32 ning lisa toetav tõendusmaterjal tarnijahalduse, pilvejuhtimise, logimise, intsidendihalduse ja talitluspidevuse kohta, kui see on asjakohane.

Lõpuks säilita auditi tõendusmaterjal. Clarysec’i ettevõtetele mõeldud Auditi ja vastavuse seire poliitika Auditi ja vastavuse seire poliitika, millele viidatakse ka kui P33 Auditi ja vastavuse seire poliitika, määratleb selge eesmärgi:

Luua regulatiivsete päringute, kohtumenetluste või klientide kindluspäringute toetamiseks kaitstav tõendusmaterjal ja auditijälg.

Jaotisest „Eesmärgid“, poliitika punkt 3.4.

See on töövoo mõte. Sa ei paranda üksnes haavatavust. Sa toodad kaitstavat tõendusmaterjali selle kohta, et organisatsioon tegutses proportsionaalselt, kiiresti ja kontrollitult.

Kuidas audiitorid sama KEV otsust testivad

Küps teadaolevalt ärakasutatud haavatavuste protsess peab vastu pidama eri auditivaadetele.

ISO 27001:2022 audiitor alustab ISMS-i kohaldamisalast, huvitatud pooltest, regulatiivsetest kohustustest, riskihindamise meetodist, kohaldatavuse deklaratsioonist ja dokumenteeritud teabest. Ta küsib, kas ohuteave on riskihindamisse integreeritud, kas haavatavuste haldus on korratav, kas erakorralised muudatused on kontrollitud, kas õige riskiomanik aktsepteeris jääkriski ja kas tõendusmaterjali säilitatakse.

NIS2-le keskenduv hindaja vaatab juhtkonna vastutust, Article 21 riskijuhtimismeetmeid, tarnijate haavatavusi, intsidentide käsitlemist, talitluspidevust ja Article 23 olulise intsidendi hindamist. Talle on olulised ajatemplid, eskaleerimine, otsusekirjed ja see, kas juhtorganid olid vajaduse korral informeeritud.

DORA audiitor või pädev asutus küsib, kas IKT-riski juhtimise raamistik hõlmas mõjutatud vara, ärifunktsiooni, sõltuvust ja kolmanda osapoole teenust. Nad ootavad intsidendi klassifitseerimist, oluliste küberohtude kirjeid, juhtkonnale eskaleerimist, algpõhjuse järeltegevusi, tarnijatõendeid, testimist ja parandusmeetmete jälgimist.

GDPR ülevaataja küsib, kas seotud olid isikuandmed, kas konfidentsiaalsus, terviklus või käideldavus võisid olla mõjutatud, millised tehnilised ja korralduslikud meetmed olid rakendatud, kas rikkumisest teavitamist hinnati ja kas vastutust tõendav materjal on olemas.

NIST CSF 2.0 hindaja võib kasutada CSF Core’i ja profiile, et kontrollida, kas juhtimise, tuvastamise, kaitse, avastamise, reageerimise ja taastamise tulemused on määratletud ja mõõdetud. Praktiline sihtprofiil võiks sätestada: „Kõik teadaolevalt ärakasutatud haavatavused, mis mõjutavad internetile avatud kriitilisi varasid, läbivad esmase hindamise 24 tunni jooksul, käsitletakse 72 tunni jooksul või neile vormistatakse ametlik erand koos kompenseerivate kontrollimeetmete ja riskiomaniku heakskiiduga.“

COBIT 19 audiitor küsib, kes vastutab, kas juhtimiseesmärgid on määratletud, kas riskivalmidus suunab kiireloomulisust, kas tulemusnäitajaid vaadatakse läbi, kas erandeid seiratakse ja kas kindlustandvad funktsioonid testivad protsessi sõltumatult.

Sama tõenduskirje peab vastama neile kõigile. See on ristvastavuse insenerimise väärtus.

Mõõdikud, mida juhatus peab nägema

Juhatus ei vaja iga CVE loendit. Juhatus vajab otsustuskvaliteedi mõõdikuid, mis näitavad kokkupuudet, reageerimisvõimet ja jääkriski. Teadaolevalt ärakasutatud haavatavuste juhtimiseks soovitab Clarysec lühikest juhtkonna aruannet järgmise sisuga:

Need mõõdikud toetavad ISO 27001 juhtkonna läbivaatamist, NIS2 juhtkonna vastutust, DORA IKT-riski aruandlust ja NIST CSF juhtimiskommunikatsiooni. Need aitavad ka äriomanikel mõista, miks paikamisvõimekus, varade registri kvaliteet, tarnijalepingud ja hooldusaknad ei ole „IT detailid“. Need on vastupidavuse otsused.

Levinud rikkemustrid, mis tuleb kõrvaldada

Clarysec’i hindamistes ebaõnnestub teadaolevalt ärakasutatud haavatavuste juhtimine tavaliselt etteaimatavatel viisidel.

Esiteks on teabeallikad mitteametlikud. Üks turbeinsener jälgib CISA KEV-i, teine tarnijate turvateateid ja kolmas tugineb skanneri väljundile. Puudub dokumenteeritud ohuteabe register, valideerimisreegel ja omanik.

Teiseks on varade seostamine nõrk. Organisatsioon teab, et CVE on olemas, kuid ei suuda kiiresti tuvastada, kus toode töötab, kas see on internetile avatud, kes seda omab, milliseid andmeid see töötleb või milline tarnija seda haldab.

Kolmandaks on erakorraline muudatus kas liiga aeglane või liiga kontrollimatu. Meeskonnad ootavad heakskiitu päevi või paigavad tootmiskeskkonda ilma tagasipööramise märkmete, valideerimise või tagasivaatava läbivaatamiseta.

Neljandaks on erandid ebamäärased. „Ei saa ärimõju tõttu paigata“ ei ole riski aktsepteerimine. Nõuetekohane erand peab määratlema piirangu, mõjutatud varad, kompenseerivad kontrollimeetmed, jääkriski, heakskiitja, aegumiskuupäeva ja läbivaatamise sageduse.

Viiendaks on tõendusmaterjal laiali. Skanneri ekraanitõmmised, vestluses antud heakskiidud, tarnijate e-kirjad, SIEM-i päringud ja muudatuskirjed asuvad eri kohtades. Auditi või regulaatori päringu ajal ei suuda organisatsioon otsuse ajajoont taastada.

Lahendus ei ole rohkem müra. Lahendus on üks ärakasutusest lähtuv juhtimistöövoog, mis ühendab teabe-, riski-, muudatuste-, intsidendi-, tarnija- ja tõendusprotsessid.

Loo ärakasutusest lähtuv tõendusmootor

Teadaolevalt ärakasutatud haavatavused jäävad 2026. aastal suure mahuga tegevuslikuks probleemiks. CISA KEV ja ENISA EUVD muudavad ärakasutusteabe nähtavamaks, kuid nähtavus üksi ei täida ISO 27001:2022, NIS2, DORA ega GDPR tõendusootusi. Vaja on juhitud protsessi, mis muudab teabe tegevuseks ja tegevuse tõenduseks.

Alusta nelja sammuga:

1. Loo ohuteabe register, kasutades Zenith Blueprint: audiitori 30-sammuline teekaart Zenith Blueprint, faas „Kontrollimeetmed tegevuses“, samm 22.
2. Vii poliitikareeglid kooskõlla Clarysec’i Haavatavuste ja paikade halduse poliitikaga Haavatavuste ja paikade halduse poliitika või Haavatavuste ja paikade halduse poliitikaga VKE-dele Haavatavuste ja paikade halduse poliitika VKE-dele.
3. Kasuta Zenith Controls: ristvastavuse käsiraamatut Zenith Controls, et kaardistada 5.7 ohuteave, 8.8 tehniliste haavatavuste haldus ja 8.32 muudatuste haldus ISO, NIS2, DORA, GDPR, NIST ja COBIT tõendusvajadustega.
4. Testi ühte tegelikku KEV või EUVD juhtumit otsast lõpuni: vastuvõtust parandusmeetmeni, erandite käsitlemiseni, erakorralise muudatuseni, valideerimiseni ja juhtkonna aruandluseni.

Clarysec aitab muuta selle toimivaks, auditiks valmis toimimismudeliks: poliitikad, registrid, tõendusmallid, ristvastavuse kaardistused ja juhatuse tasandi aruandlus, mis teevad ärakasutusest lähtuva parandamise kaitstavaks audiitori, regulaatori ja klientide ees.

Laadi alla Zenith Blueprint, tutvu Zenith Controls materjaliga või taotle Clarysec’i valmisoleku hindamist, et luua oma CISA KEV ja ENISA EUVD juhtimistöövoog enne, kui järgmine reedene haavatavus muutub juhatuse küsimuseks.