Materi
Kontrol SI-2 di SP 800-53 Rev. 5 meminta organisasi mengenali, melaporkan, dan memperbaiki kelemahan sistem; menguji pembaruan sebelum dipasang; memasang pembaruan keamanan dalam jangka waktu yang ditetapkan organisasi sejak pembaruan itu rilis; dan memasukkan perbaikan ke proses manajemen konfigurasi. Panjang tenggat ditimbang dari kategori keamanan sistem, keparahan kerentanan, toleransi risiko, misi yang didukung, dan keadaan ancaman. Latihan pelajaran ini memakai tenggat kebijakan contoh: Critical 7 hari, High 30 hari, Medium 60 hari, dan Low 90 hari.
SP 800-40r4 menambahkan tiga aturan. Mitigasi darurat, misalnya mematikan fitur atau mengisolasi aset, diganti perbaikan permanen begitu tambalan tersedia, dengan jadwal untuk memasang tambalan dan mencabut mitigasinya. Pengecualian dilacak dan ditinjau berkala. Penerapan tambalan diverifikasi benar-benar terpasang dan berlaku, lalu dipantau agar tidak hilang karena di-uninstall, dipulihkan dari cadangan lama, atau dikembalikan ke setelan pabrik. Pekerjaan yang masih terbuka dicatat di POA&M, alat yang memuat tugas, sumber daya, tonggak, dan tanggal selesainya.
Untuk metrik, SP 800-40r4 menilai angka yang terlalu sederhana, seperti jumlah kerentanan dan persen yang sudah ditambal, tidak bisa ditindaklanjuti. Contoh metriknya persentase yang selesai sebelum tenggat serta rata-rata dan median waktu perbaikan, dipilah berdasarkan kepentingan aset dan keparahan.
