Sluit een technische kwetsbaarheid pas af nadat uw beheerder heeft gecontroleerd wat op de betrokken systemen werkelijk actief is. Een updatebericht van de leverancier kan slechts over een deel van de omgeving gaan. Koppel de bevinding daarom aan concrete installaties, de eigenaar en het bewijs van de uitgevoerde maatregel.
Een geslaagde update op één systeem sluit de bevinding niet voor alle systemen af. Leg uitvoering en verificatie apart vast.
Beoordeel prioriteit in uw omgeving
NCSC noemt onder meer blootstelling, belang van het systeem, dreiging en mogelijke impact bij prioritering. Een algemene ernstscore alleen vertelt niet welke eigen dienst als eerste aandacht nodig heeft. Betrek de risico-eigenaar en beheerder bij de keuze. Een lage prioriteit betekent een later geplande behandeling, geen reden om de bevinding zonder beoordeling uit de lijst te verwijderen.
Vraag een onderhoudsleverancier naar de exacte systeemgrens van zijn werk. Noteer actieve versie of configuratie na uitvoering, wie de controle doet en wat nog buiten scope blijft. Bij uitstel krijgt de tijdelijke maatregel een eigenaar en herbeoordelingsmoment. De beheerprocedure geeft geen bevoegdheid om systemen van andere organisaties zonder toestemming te onderzoeken.
Voorbeeld: vier servers, één oude node
Een fictieve organisatie heeft vier servers voor dezelfde dienst. De leverancier meldt dat de update klaar is. Controle toont drie bijgewerkte servers en één uitgeschakelde node met de oude versie. Die node kan later opnieuw actief worden. De beheerder houdt de bevinding daarom open voor deze node, regelt gecontroleerde behandeling en verifieert de versie vóór herinschakeling. Het totaal is drie gecontroleerd hersteld en één nog niet afgerond.
Vraag om afrondingsbewijs per systeem
Neem één afgeronde bevinding en vergelijk inventaris, leveranciersmelding en actieve toestand. Kan iedere betrokken installatie worden teruggevonden? Heropen een onvolledige controle en stem de resterende werkzaamheden af. Bewaar een begrijpelijk resultaat zonder gevoelige configuratiegegevens breed in de organisatie te verspreiden.