4 — 74 — 1 10 PR.DS-7 Valutare in un opportuno ambiente di test le patch dei prodotti non standard (es.: quelli sviluppati ad hoc) prima di installarle nei sistemi in esercizio. PR.IP-12 PR.IP-12 RS.MI-3 Attribuire alle azioni per la risoluzione delle vulnerabilità un livello di priorità in base al rischio associato. ’ƒ”–‹ ‘Žƒ”‡ƒ’’Ž‹ ƒ”‡Ž‡’ƒ– Š’‡”Ž‡˜—Ž‡”ƒ„‹Ž‹–ƒ’ƒ”–‹”‡†ƒ“—‡ŽŽ‡ ’‹î ”‹–‹ Š‡Ǥ 2 ID.RA-4 ID.RA-5 PR-IP.12 PR.IP-12 RS.MI-3 Prevedere, in caso di nuove vulnerabilità, misure alternative se non sono immediatamente disponibili patch o se i tempi di distribuzione non sono compatibili con quelli fissati dall’organizzazione. Definire un piano di gestione dei rischi che tenga conto dei livelli di gravità delle vulnerabilità , del potenziale impatto e della tipologia degli apparati (e.g. server esposti, server interni, PdL, portatili, etc.). 1 1 Rivedere periodicamente l’accettazione dei rischi di vulnerabilità esistenti per determinare se misure più recenti o successive patch possono essere risolutive o se le condizioni sono cambiate, con la conseguente modifica del livello di rischio. PR.IP-12 RS.MI-3 Verificare che le vulnerabilità emerse dalle scansioni siano state risolte sia per mezzo di patch, o implementando opportune contromisure oppure documentando e accettando un ragionevole rischio. 1 2 ID.RA-1 DE.CM-8 X X X X X PR.MA-1 PR.MA-1 Min. FNSC Verificare regolarmente che tutte le attività di scansione effettuate con gli account aventi privilegi di amministratore siano state eseguite secondo delle policy predefinite. Assicurare l’aggiornamento dei sistemi separati dalla rete, in particolare di quelli air-gapped, adottando misure adeguate al loro livello di criticità. Descrizione Installare automaticamente le patch e gli aggiornamenti del software sia per il sistema operativo sia per le applicazioni. 1 2 9 8 7 6 5 1 ABSC_ID # X X X X X X X X X X X X X X X X X X Std. Alto 5-5-2017 GAZZETTA UFFICIALE DELLA REPUBBLICA ITALIANA Serie generale - n. 103