Deep Dive: Vulnerability & Patch Management

Die DORA-Werkstatt läuft weiterhin auf Hochtouren und extrahiert aus dem Regelwerk kontinuierlich die Anforderungen für jede fachliche Domäne aus dem DORA-Puzzle. Bereits verfügbar sind der initiale DORA Deep Dive (Stand Mai 2024) der Deep Dive zur Domäne " Threat-led pentetration testing " sowie der Deep Dive zur Domäne " Subcontracting management ".

Die DORA-Werkstatt läuft weiterhin auf Hochtouren und extrahiert aus dem Regelwerk kontinuierlich die Anforderungen für jede fachliche Domäne aus dem DORA-Puzzle.

Bereits verfügbar sind

• der initiale DORA Deep Dive (Stand Mai 2024)
• der Deep Dive zur Domäne „Threat-led pentetration testing“ sowie
• der Deep Dive zur Domäne „Subcontracting management„.

Heute widmen wir uns dem Bereich Vulnerability & Patch Management.

Konkrete Anforderungen zum Vulnerability & Patch Management finden sich sowohl in der DORA-Verordnung selbst als auch im RTS zum Risk Management.

• Erwähnenswert ist ein kleiner, aber sehr relevanter Halbsatz zur Häufigkeit von Schwachstellenscans: Die Verordnung schreibt nun wöchentliche und automatisierte Schwachstellenscans für alle ICT-Assets vor, die kritische oder wichtige Funktionen unterstützen.
• Zusätzlich werden detaillierte Vorgaben zum Management von „Third-party und Open-Source Libraries“ definiert. Diese müssen im Rahmen des Vulnerability Managements überwacht, auf aktuelle Versionen geprüft und regelmäßig aktualisiert werden.
• Auch im Patch Management ist Automatisierung von zentraler Bedeutung. Verfügbare Software- und Hardware-Patches müssen nun automatisiert identifiziert und bewertet werden.
• Ach ja, und dann wäre da noch die Anforderung, dass Patches „ordnungsgemäß“ getestet werden müssen, natürlich unter strikter Einhaltung der Compliance-Vorgaben zur Trennung von Produktions-, Entwicklungs- und Testumgebungen.

Zur Unterstützung stelle ich euch gerne eine kompakte Übersicht der identifizierten Anforderungen zur Verfügung. Der Beipackzettel dazu: Es handelt sich (wie immer) um eine vereinfachte und interpretierte Darstellung der Originaltexte, die ich nach bestem Wissen und Gewissen (und mit Unterstützung von ChatGPT) erstellt habe 😉

Einen schönen Abend und einen guten Start in die neue Woche.

P.S. Das PDF-Dokument findet ihr auch auf meiner Website.