Organisaation olisi laadittava virallinen haavoittuvuuden hallintasuunnitelma, joka perustuu haavoittuvuusarviointien tuloksiin. Tämä suunnitelma, jossa esitetään yksityiskohtaisesti havaittujen haavoittuvuuksien korjaustoimenpiteet, on toimitettava kansallisen kyberturvallisuusviranomaisen hyväksyttäväksi lain edellyttämällä tavalla.

Organisaatio on määritelly prosessin, jonka perusteella tunnistetut tekniset haavoittuvuudet käsitellään.

Osa haavoittuvuuksista voidaan korjata suoraan, mutta merkittäviä vaikutuksia omaavat haavoittuvuudet tulisi dokumentoida myös tietoturvahäiriöinä. Merkittäviä vaikutuksia omaavan haavoituvuuden tunnistamisen jälkeen:

• yksilöidään haavoittuvuuteen liittyvät riskit ja tarvittavat toimenpiteet (esim. järjestelmän paikkaus tai muut hallintatehtävät)
• aikataulutetaan tarvittavat toimenpiteet
• dokumentoidaan kaikki toimenpiteet

Organisaation olisi luotava ja dokumentoitava prosessi, jonka avulla se analysoi säännöllisesti kriittisen infrastruktuurinsa haavoittuvuuksia.

Kokonaisvaltaisen haavoittuvuusanalyysin ja vaikutusten arvioinnin keskeisiä vaiheita ovat seuraavat:

• Määritellään ja dokumentoidaan kaikki keskeiset laitteistot, ohjelmistot, verkot ja tiedot, jotka tukevat ydintoimintoja.
• Luodaan erilaisia realistisia skenaarioita, mukaan lukien tekniset viat (esim. laitteistoviat, ohjelmistovirheet), ilkivaltaiset hyökkäykset (esim. verkkohyökkäykset, sisäpiirin uhat) ja luonnonkatastrofit (esim. tulvat, maanjäristykset).
• Analysoidaan kriittisen infrastruktuurin erityiset heikkoudet, joita voitaisiin hyödyntää tai joihin voitaisiin vaikuttaa kussakin tunnistetussa skenaariossa.
• Kunkin skenaarion mahdollisten seurausten kvantifiointi, jossa otetaan huomioon käyttökatkokset, tietojen menetykset, taloudelliset kustannukset, lainsäädännölliset seuraamukset ja maineen vahingoittuminen.
• Laaditaan kattava raportti, jossa esitetään yksityiskohtaisesti haavoittuvuudet, mahdolliset vaikutukset sekä suositellut lieventämisstrategiat ja valvontatoimet.

Organisaatiolla tulisi olla dokumentoidut prosessit ja mallit havaittujen haavoittuvuuksien raportointia varten.

Haavoittuvuuksien havaitsemisraportit olisi toimitettava välittömästi toimivaltaiselle tietoverkkotapahtumia ehkäisevälle laitokselle ja viimeistään viiden päivän kuluessa haavoittuvuuden havaitsemisesta.

Havaintoraportin olisi sisällettävä seuraavat tiedot:

• Haavoittuvuuden havaitsemisen päivämäärä ja kellonaika (jos mahdollista);
• tiedot tietojärjestelmästä tai sähköisestä viestintäverkosta, jossa haavoittuvuus on havaittu;
• haavoittuvuuden kuvaus;
• kuvaus haavoittuvuuden havaitsemisessa käytetyistä menetelmistä tai suoritettujen toimien järjestyksestä;
• haavoittuvuusilmoituksen tekijän yhteystiedot;
• Muut tiedot, joita haavoittuvuuden havaitsemisilmoituksen tekijä pitää tarpeellisina havaitun haavoittuvuuden tunnistamisen ja ennaltaehkäisyn kannalta.

Organisaatio on määritellyt prosessit havaittujen haavoittuvuuksien korjaamiseksi.

Näihin prosesseihin olisi sisällyttävä ainakin seuraavat:

• Haavoittuvuuteen liittyvien riskien ja tarvittavien toimien tunnistaminen (esim. järjestelmän korjaaminen tai muut hallintatehtävät).
• Tarvittavat toimet aikataulutetaan
• Kaikki toteutetut toimet dokumentoidaan.

Organisaatio toteuttaa tarvittavat toimet haavoittuvuuden torjumiseksi toimivaltaisen tietoverkkotapahtumia ehkäisevän laitoksen asettamassa määräajassa, kuitenkin viimeistään 90 päivän kuluessa tiedon saamisesta, ja ilmoittaa toimivaltaiselle tietoverkkotapahtumia ehkäisevälle laitokselle haavoittuvuuden torjunnan edistymisestä.

Jos haavoittuvuutta ei objektiivisista syistä ole mahdollista poistaa asetetussa määräajassa, tietoverkkohäiriöiden torjuntalaitos voi organisaation pyynnöstä pidentää haavoittuvuuden poistamiselle asetettua määräaikaa, kuitenkin enintään 180 päivää haavoittuvuuden havaitsemisraportin toimittamisesta, ilmoittamalla siitä haavoittuvuuden havaitsemisraportissa sen toimittajalle.

Organisaation täytyy määrittää hyväksyttävä taso riskeille. Taso lasketaan riskien todennäköisyyden, vakavuuden ja hallintakeinojen pohjalta.

Organisaation on varmistettava, että haavoittuvuuksia havaitsevat suojausjärjestelmät sekä niissä mahdollisesti hyödennetyt avaintiedot (esim. threat signaturet) päivitetään vähintään viikottain.

Päivityksissä tulisi kiinnittää huomiota automaation mahdollistamiseen sekä valvontaan, jonka kautta puutteellinen toiminta havaitaan.

Organisaation on määriteltävä seuratut mittarit haavoittuvuuksien tunnistamiseen sekä korjaamiseen liittyen. Mittareita on seurattava määritetyin aikavälein.

Teknisten haavoittuvuuksien hallintaprosessia seurataan ja arvioidaan säännöllisesti, jotta voidaan varmistaa sen tehokkuus ja vaikuttavuus.