A Cyber Crucible possui um programa de gestão de patches?

Resposta curta: Sim. Um programa de gestão de patches e vulnerabilidades baseado em risco mantém softwares, drivers de kernel, servidores e endpoints atualizados, e as constatações são acompanhadas até sua resolução.

Como funciona

Testes de segurança automatizados contínuos são executados no pipeline de desenvolvimento, testes de penetração manuais baseados em risco são realizados com um piso anual, e testes acionados por eventos são executados a cada alteração significativa, cobrindo tanto redes internas quanto externas. Patches de segurança e hot-fixes são aplicados conforme recomendação do fornecedor, e os grupos responsáveis devem manter-se atualizados quanto aos patches aplicáveis. Mídias removíveis e portáteis são submetidas ao mesmo nível de proteção e verificação que as mídias fixas.

Priorização e implantação

As constatações são priorizadas por severidade e explorabilidade, com vulnerabilidades ativamente exploradas tratadas por meio de um caminho expedito e fora de banda. Os patches seguem o processo de gestão de mudanças — validados antes da promoção para produção — e as atualizações de drivers de kernel são revalidadas por meio do Microsoft WHCP antes do lançamento.

Alinhamento a frameworks e o limite honesto

O programa está alinhado ao NIST SP 800-40, NIST SP 800-53 (SI-2, RA-5), CIS Control 7 e ISO/IEC 27001:2022 A.8.8. Nenhuma certificação é reivindicada. Janelas específicas de remediação-alvo e evidências de remediação são fornecidas aos avaliadores sob NDA.