25 października 2026

800 podatności, jeden administrator. Co zrobić w tym tygodniu

Firma produkująca żywność, dwa zakłady, kilkanaście serwerów Linux: system magazynowy, baza produkcji, poczta, kilka aplikacji wewnętrznych. Jeden administrator, który oprócz serwerów obsługuje kopie zapasowe, drukarki i telefon od kierownika zmiany, któremu nie działa skaner kodów. Po pierwszym pełnym skanie dostaje listę: 800 podatności, posortowanych od najwyższej oceny.

Patrzy na nią i zamyka okno. Nie z lenistwa. Z listy 800 pozycji nie da się wyczytać, co zrobić w poniedziałek rano, a rzeczy, które trzeba zrobić w poniedziałek rano, czekają już w kolejce.

W czwartym odcinku cyklu o KSC pokazuję, jak administrator może zamienić taką listę w krótki plan na tydzień i które przeszkody wymagają decyzji zarządu. Jeśli odpowiadasz za KSC, a nie za serwery, ten tekst powie Ci, o jaki plan prosić.

Co mówi przepis

Dyrektywa NIS2, wdrażana znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa, w art. 21 ust. 2 lit. e wymienia wśród środków zarządzania ryzykiem bezpieczeństwo w utrzymaniu systemów, w tym obsługę podatności. Art. 21 ust. 1 mówi, że środki mają być proporcjonalne: uwzględniać stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo i dotkliwość incydentów.

Przepis nie ustala jednego terminu usuwania wszystkich podatności ani narzędzia. Ustawa o KSC wymaga natomiast regularnych aktualizacji i niezwłocznego działania po dostrzeżeniu podatności, więc "kiedyś" nie jest odpowiedzią. Proporcjonalność dotyczy ryzyka, nie wielkości działu IT: jednoosobowy dział nie uzasadnia słabszej ochrony, ale dobrze ułożona kolejność pozwala jednej osobie zrobić najpierw to, co najważniejsze, i umieć to wyjaśnić.

Dlaczego lista nie jest planem

Lista podatności posortowana po ocenie wagi ma trzy wady, które razem sprawiają, że nie da się z niej pracować.

Liczy powtórzenia. Ta sama podatność w tej samej bibliotece na dziesięciu serwerach to dziesięć pozycji. Jedna aktualizacja pakietu potrafi zamknąć kilkanaście podatności naraz. Lista pokazuje objawy, a pracuje się na przyczynach.

Miesza to, co da się zrobić, z tym, czego się nie da. Duża część pozycji nie ma jeszcze poprawki od producenta albo dystrybucji. Na moich dziewięciu serwerach było to dziewięćdziesiąt procent listy. Ich nie zaktualizujesz, ale nie znaczy to, że nic nie trzeba z nimi robić.

Sortuje po złym kluczu. Ocena wagi mówi, jak bardzo podatność mogłaby zaszkodzić. Nie mówi, czy ktoś jej używa. Na tej samej mojej flocie żadna z siedmiu podatności, o których wiadomo, że są wykorzystywane w atakach, nie miała wagi krytycznej. Sortując po wadze, nie zobaczyłbym żadnej z nich na górze.

Jak zrobić z tego plan na tydzień

Poniższe kroki działają z każdym skanerem i arkuszem. Narzędzie tylko je przyspiesza.

1. Oddziel to, co nie ma poprawki. Tego nie zaplanujesz jako aktualizacji, ale nie wyrzucaj tego z pola widzenia. Sprawdź, czy wśród tych pozycji nie ma pilnych, na przykład wykorzystywanych w atakach na serwerze dostępnym z internetu. Takie wymagają obejścia, ograniczenia dostępu albo decyzji o ryzyku. Resztę oceniaj dalej i pilnuj, kiedy pojawi się poprawka.

2. Zamień podatności w pakiety. Pytanie nie brzmi "którą podatność naprawić", tylko "który pakiet zaktualizować i na których serwerach". Na mojej flocie 17 tysięcy pozycji z dostępną poprawką mieściło się w 310 pakietach. Po zgrupowaniu zobaczysz, ile odrębnych aktualizacji naprawdę trzeba zaplanować.

3. Ustaw kolejność według tego, co realnie grozi. Najpierw pakiety z podatnościami z katalogu KEV, czyli takimi, o których wiadomo, że są wykorzystywane w atakach. Potem to, co jest na serwerach dostępnych z internetu albo krytycznych dla działania firmy. Potem waga i prawdopodobieństwo wykorzystania. Pisałem o tym szerzej w tekście o KEV i CVSS.

4. Wybierz trzy do pięciu zadań na ten tydzień. Nie wszystkie. Tyle, ile da się realnie zrobić obok reszty obowiązków, z osobą i terminem przy każdym. Lepiej trzy zadania zrobione niż trzydzieści rozpoczętych.

5. Pogrupuj według tego, co wymaga restartu. Część aktualizacji wymaga ponownego uruchomienia usługi albo serwera, a to w zakładzie produkcyjnym oznacza okno serwisowe. Zbierz je razem, żeby nie zatrzymywać systemu magazynowego co tydzień.

6. Co nie zmieści się w terminie, wymaga decyzji. Jeśli firma ma ustalone terminy usuwania, a jakiegoś pakietu nie da się zaktualizować na czas, bo dostawca aplikacji nie wspiera nowszej wersji, to nie jest zadanie dla administratora. To decyzja o ryzyku, którą ktoś musi podjąć i zapisać. O tym jest następny odcinek.

7. Raz w tygodniu sprawdź, czy zaległości maleją, czy rosną. Nowe podatności przychodzą co tydzień, bez względu na to, jak dobrze pracujesz. Jeśli przez kilka tygodni z rzędu pozycji po terminie przybywa, pokaż zarządowi ten trend i jego przyczyny. Może brakuje okien serwisowych, może jednej aplikacji nie da się zaktualizować, a może po prostu jeden etat to za mało. To jest ta decyzja zarządu, o której pisałem na początku: ocenę, czy środki są dobrane do ryzyka, podejmuje zarząd, nie administrator.

Gdzie pomaga Secvalis, a gdzie nie

Lista priorytetów w Secvalis grupuje otwarte podatności w zadania według pakietu i pokazuje kolejność działań. Status KEV i istotność wpływają na tę kolejność, a krytyczność maszyny i jej ekspozycja zmieniają kolejność napraw bez zmiany wagi samej podatności. Karta podatności pokazuje, gdy są dostępne, ocenę wagi CVSS, prognozę prawdopodobieństwa wykorzystania EPSS i informację, czy podatność jest w katalogu KEV.

Kontekst znaleziska odróżnia między innymi pakiety jądra, które nie jest aktualnie uruchomione, i przypadki wymagające restartu, co pomaga przy planowaniu okien serwisowych. Terminy usuwania ustawia firma, a dla podatności z katalogu KEV obowiązuje dodatkowy limit, który może termin skrócić. Właściciel lub administrator konta może przypisać osobę do znaleziska, a plan działań pokazuje przypisane, otwarte pozycje z terminem. Codzienne podsumowanie i alerty o krytycznych lub wysokich podatnościach mogą przychodzić e-mailem, webhookiem, przez Telegram albo wybrany komunikator.

Secvalis nie instaluje aktualizacji, nie testuje ich i nie planuje okien serwisowych. Nie wie, która aplikacja w Twoim zakładzie przestanie działać po aktualizacji biblioteki, to wie administrator. Obejmuje serwery Linux i obrazy uruchomionych na nich kontenerów, nie stacje z Windows, urządzenia sieciowe ani sterowniki linii produkcyjnej.

Jak wygląda lista zadań pakietowych na danych fikcyjnej firmy, zobaczysz w publicznym demo, bez rejestracji.

W następnym odcinku: co zrobić, kiedy poprawka jest, ale nie da się jej zainstalować od razu, i jak podjąć decyzję, którą obronisz przed audytorem.

Źródła

Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.

Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.