In parole semplici. Usare solo software ancora aggiornabile e applicare le patch senza ritardi ingiustificati.
Descrizione ufficiale
Il software è mantenuto, sostituito e rimosso in base al rischio.
Requisiti
- p.1Fatte salve motivate e documentate ragioni normative o tecniche, in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, è installato esclusivamente software, ivi compresi i sistemi operativi, per il quale è garantita la disponibilità di aggiornamenti di sicurezza.
- p.2Fatte salve motivate e documentate ragioni normative o tecniche, sono installati, senza ingiustificato ritardo, gli ultimi aggiornamenti di sicurezza rilasciati dal produttore in coerenza con il piano di gestione delle vulnerabilità di cui alla misura ID.RA-08.
- p.3Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1e 2.
Per alcuni requisiti di questa misura è ammessa la mancata attuazione per motivate e documentate ragioni normative o tecniche, con misure compensative e descrizione del rischio residuo nel piano di trattamento. Approfondisci.
Evidenze tipiche
- Piano di aggiornamento
- Schede di eccezione con misure compensative
Domande frequenti su PR.PS-02
Cosa chiede la misura PR.PS-02?
Usare solo software ancora aggiornabile e applicare le patch senza ritardi ingiustificati. Il testo ufficiale è: «Il software è mantenuto, sostituito e rimosso in base al rischio.»
La misura PR.PS-02 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 3 requisiti, per gli essenziali 5.
Quali evidenze servono per dimostrare PR.PS-02?
Tipicamente: Piano di aggiornamento; Schede di eccezione con misure compensative. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
PR.PS-02 richiede l'approvazione degli organi di amministrazione?
Non direttamente: nessun requisito di PR.PS-02 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).
La categoria PR.PS: Sicurezza delle piattaforme
L'hardware, il software (ad esempio firmware, sistemi operativi, applicazioni) e i servizi delle piattaforme fisiche e virtuali sono gestiti in modo coerente con la strategia sul rischio dell'organizzazione per proteggere la loro riservatezza, integrità e disponibilità.
Altre misure della stessa categoria:
- PR.PS-01: Configurazioni sicure di riferimento (solo essenziali)
- PR.PS-03: Dismissione sicura e manutenzioni (solo essenziali)
- PR.PS-04: Log degli accessi remoti e amministrativi
- PR.PS-06: Sviluppo sicuro del software
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.