KSC wymaga aktualizacji oprogramowania, ale nie ślepego patchowania
"Ustawa każe wszystko natychmiast łatać" to wygodny mit. Drugi, równie wygodny, brzmi: "nie aktualizujemy, bo poprawka może coś zepsuć". Dobre zarządzanie poprawkami mieści się pomiędzy nimi.
Oficjalne materiały KSC wskazują aktualizowanie oprogramowania i monitorowanie podatności jako elementy zarządzania ryzykiem. Nie narzucają jednak jednego SLA dla każdej firmy ani automatycznej instalacji każdej poprawki bez testów.
Decyzja oparta na ryzyku
Dla każdej istotnej podatności warto zestawić:
- potwierdzone wykorzystanie, na przykład obecność w CISA KEV,
- wagę i przewidywane prawdopodobieństwo wykorzystania,
- ekspozycję oraz krytyczność systemu,
- dostępność poprawki lub obejścia,
- ryzyko przestoju i możliwość bezpiecznego testu,
- środki kompensacyjne na czas odroczenia.
Efektem może być pilna instalacja, zaplanowane okno, izolacja, wirtualne łatanie, migracja albo czasowa akceptacja ryzyka. Brak decyzji nie jest strategią.
Co zostawić jako dowód
Przy odroczeniu poprawki powinny zostać: właściciel, uzasadnienie, data ponownego przeglądu, zastosowane ograniczenia i plan docelowy. Po wdrożeniu przydają się data, zakres oraz wynik ponownego skanu. Dzięki temu raport pokazuje nie tylko stan końcowy, ale cały tok zarządzania ryzykiem.
Secvalis nie wdraża poprawek na serwerach. Łączy wynik skanu z priorytetem, właścicielem, terminem, wyjątkiem i historią. Administrator nadal podejmuje decyzję techniczną i wykonuje zmianę w swoim narzędziu.
Jeśli chcesz zobaczyć kolejkę, która odróżnia pilne działanie od udokumentowanego wyjątku, otwórz demo Secvalis.
Źródła
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.