Kiedy zaczynają biec 24 godziny? Kotwica powzięcia wiedzy

Moment powzięcia wiedzy i dlaczego organ patrzy na niego najpierw

Art. 14(1) kotwiczy każdy termin w jednej chwili: momencie, w którym producent poweźmie wiedzę o aktywnie wykorzystywanej podatności lub o poważnym incydencie wpływającym na bezpieczeństwo produktu. Od tej chwili biegną 24 godziny wczesnego ostrzeżenia, a cały dalszy łańcuch na niej wisi. To właśnie nazywamy chwilą powzięcia wiedzy.

To pierwsza rzecz, którą sprawdza organ, właśnie dlatego, że to jedna data i godzina, a nie interpretacja. Aby rozstrzygnąć, czy termin dotrzymano, kontroler nie musi wchodzić w meritum podatności: wystarczy porównać dwa znaczniki czasu — chwilę powzięcia wiedzy i chwilę złożenia. Cała reszta wynika z tego odejmowania.

Techniczny zegar, który wygrywa się lub przegrywa na organizacji

Gdy kotwica jest zrozumiana, problem przesuwa się w bok: z pola technicznego na organizacyjne. 24 godzin nie spędza się na rozumieniu błędu — spędza się je na zauważeniu w porę, że ktoś do Was napisał. Żeby to okno nie zamknęło się samo, potrzebne są trzy rzeczy: jeden obsadzony kanał przyjęć; spisana reguła, kto ocenia zgłoszenie i według jakich kryteriów; oraz łańcuch dyżurów z progami godzinowymi i imiennymi zastępcami.

Firmom, które widzieliśmy w tarapatach, nie brakowało kompetencji: ich inżynierowie przeanalizowaliby podatność w godzinę. Brakowało im dostępności. Zgłoszenie przyszło kanałem, którego nikt nie obserwował, albo trafiło do osoby na weekendzie bez zastępcy za nią. Termin przepadł nie na meritum, lecz na grafiku.

Ustalić i udokumentować chwilę, by broniła się po miesiącach

Wiedza, że termin biegnie od powzięcia wiedzy, jest mało warta, jeśli nie można udowodnić, kiedy nastąpiło. Chwilę trzeba utrwalić, gdy się zdarza, a nie odtwarzać potem z pamięci. W praktyce: przyjęcie, które automatycznie stempluje czas każdego wpływającego zgłoszenia, i odporny na manipulacje wpis w rejestrze — odnotowujący wpływ, godzinę, źródło i osobę, która wzięła sprawę, którego nikt nie może potem po cichu edytować.

Sensem odporności na manipulacje jest możliwość obrony. Miesiące później, przed kontrolerem, nie chcesz spierać się o to, kiedy wiedziałeś: chcesz zapisu wytworzonego w tamtej chwili, którego daty nie dało się przesunąć w przód ani w tył pod narrację. Stemplowane przyjęcie i rejestr tylko-do-zapisu zamieniają podważalne wspomnienie w fakt.

23:40 w sobotę: przejść zegar

Zgłoszenie trafia na publiczny adres o 23:40 w sobotę: badacz pisze, że podatność w Waszym produkcie jest wykorzystywana w środowisku rzeczywistym. Ten znacznik — sobota 23:40 — to chwila, której będziecie musieli bronić. 24 godziny nie czekają na otwarcie biura: wczesne ostrzeżenie jest wymagalne w niedzielę o 23:40.

Przejdźmy zegar. Jeśli łańcuch dyżurów działa, o 23:45 zgłoszenie jest ostemplowane i zapisane; o 00:30 dyżurny potwierdził, że są wiarygodne dowody wykorzystania; przed południem w niedzielę wczesne ostrzeżenie jest złożone, z czternastoma godzinami zapasu. Jeśli natomiast wiadomość leży nieprzeczytana do poniedziałku 09:00, powzięcie wiedzy i tak jest ustalone na sobotę 23:40 — prawo nie przesuwa kotwicy — i minęły trzydzieści trzy godziny, dziewięć z nich po terminie, zanim ktokolwiek przeczytał linijkę.

Kotwica i rejestr to ta sama dyscyplina

Chwila powzięcia wiedzy to pierwszy wpis łańcucha dowodów biegnącego przez całe życie zgłoszenia: powzięcie wiedzy, kwalifikacja, wczesne ostrzeżenie, aktualizacja 72 h, sprawozdanie końcowe. Każdy ma swój termin, liczony od kotwicy lub od poprzedniego kroku, i każdy da się obronić tylko wtedy, gdy zapisano go, gdy się zdarzył. Stemplowany rejestr to nie biurokracja — to on czyni każdy późniejszy termin dowodliwym.

Dokładne łańcuchy terminów — który dotyczy wykorzystywanej podatności, a który poważnego incydentu, i czym różnią się sprawozdania końcowe — opisuje nasz filar o art. 14. Czytaj kotwicę i łańcuchy razem: pierwsza mówi, kiedy zaczyna się liczenie, drugie — do czego ono odlicza.