Derfor er softwareopdateringer et vigtigt sikkerhedstiltag

Softwareopdateringer lukker kendte sikkerhedshuller i operativsystemer, programmer og netværksudstyr. Hvis opdateringerne ikke bliver installeret, kan angribere udnytte sårbarheder, som allerede er beskrevet offentligt. En fast proces for opdatering er derfor en grundlæggende del af virksomhedens it-sikkerhed.

Hvad indeholder en softwareopdatering?

En softwareopdatering kan indeholde nye funktioner, rettelser af fejl og lukning af sikkerhedshuller. Sikkerhedsrettelser kaldes ofte patches.

Når en leverandør offentliggør en opdatering, kan oplysninger om den rettede sårbarhed samtidig blive kendt. Det giver virksomheder mulighed for at beskytte deres systemer, men kan også gøre det lettere for angribere at undersøge, hvilke installationer der fortsat er sårbare.

Det er derfor ikke tilstrækkeligt, at opdateringen findes. Den skal også installeres på de relevante enheder og systemer.

Kendte sårbarheder kan blive en nem vej ind

Angribere behøver ikke altid finde et nyt sikkerhedshul. De kan scanne internettet efter servere, firewalls og andre enheder, som mangler kendte opdateringer.

En sårbarhed kan blandt andet bruges til at installere skadelig software, stjæle oplysninger eller få kontrol over et system. Hvis den kompromitterede enhed har adgang til andre dele af netværket, kan angrebet sprede sig videre.

Ransomwareangrebet WannaCry viste, hvor hurtigt skadelig software kan sprede sig gennem systemer, som ikke var beskyttet mod en kendt sårbarhed. Det betyder ikke, at opdateringer kan stoppe alle cyberangreb. De beskytter eksempelvis ikke i sig selv mod stjålne adgangskoder, phishing eller helt nye sårbarheder, som endnu ikke er blevet rettet.

Hele it-miljøet skal med

Mange forbinder softwareopdateringer med Windows og programmerne på medarbejdernes computere. Virksomhedens angrebsflade er dog bredere.

Servere, mobiltelefoner, firewalls, routere, printere, adgangssystemer og andet netværksudstyr kan også indeholde software, som skal opdateres. Det samme gælder plugins, databaser, cloud-integrationer og branchespecifikke programmer.

Virksomheden kan ikke styre opdateringerne, hvis den ikke ved, hvilke systemer den har. Første skridt er derfor at skabe et samlet overblik over enheder, programmer, versioner og ansvarlige leverandører.

Forældede systemer, som ikke længere modtager sikkerhedsrettelser, kræver særlig opmærksomhed. De bør udskiftes, isoleres eller beskyttes med andre tiltag, hvis de ikke umiddelbart kan udfases.

Skal alle opdateringer installeres med det samme?

Kritiske sikkerhedsopdateringer bør normalt prioriteres højt, især når sårbarheden bliver udnyttet aktivt, eller systemet er tilgængeligt fra internettet.

Det betyder ikke, at alle opdateringer ukritisk skal installeres øjeblikkeligt på alle systemer. En ændring kan påvirke integrationer, specialsoftware eller produktionsudstyr. På forretningskritiske systemer kan det derfor være nødvendigt at teste opdateringen først.

Testen må ikke blive en permanent undskyldning for at vente. Virksomheden bør have faste frister, der tager højde for både sårbarhedens alvor, risikoen for misbrug og konsekvensen af en fejl under installationen.

Hvis en kritisk opdatering ikke kan installeres med det samme, bør virksomheden undersøge midlertidige sikkerhedsforanstaltninger. Det kan eksempelvis være at begrænse adgang, deaktivere en udsat funktion eller isolere systemet.

Automatiske opdateringer reducerer det manuelle arbejde

Automatiske opdateringer er velegnede til mange almindelige computere og standardprogrammer. De reducerer risikoen for, at en vigtig rettelse bliver glemt.

Automatikken skal dog overvåges. En enhed kan være slukket, mangle lagerplads eller have en fejl, som forhindrer installationen. Et system kan derfor fremstå omfattet af den automatiske proces uden reelt at være opdateret.

Patch management-værktøjer kan give it-supporten et samlet overblik over versioner, manglende rettelser og installationer, der er mislykkedes. De kan også hjælpe med at udrulle opdateringer i etaper, så eventuelle problemer opdages, før hele virksomheden bliver berørt.

Skab en fast proces for opdateringer

Virksomheden bør have en tydelig fordeling af ansvaret. Det skal fremgå, hvem der følger med i nye sikkerhedsrettelser, hvem der godkender ændringer, og hvem der kontrollerer, om installationen er gennemført.

Systemerne bør prioriteres efter deres betydning for driften og deres eksponering. En internetvendt server kræver typisk hurtigere behandling end et isoleret system uden adgang til følsomme data.

Større opdateringer bør planlægges i vedligeholdelsesvinduer, og der skal være en mulighed for at gendanne systemet, hvis noget går galt. Backup skal være gennemført og testet, før en kritisk ændring foretages.

Dokumentation af opdateringer kan understøtte virksomhedens risikostyring og vise, at kendte sårbarheder bliver håndteret systematisk. Dokumentationen skaber dog ikke compliance i sig selv.

Softwareopdateringer er et vigtigt sikkerhedstiltag, fordi de lukker kendte veje ind i virksomhedens systemer. Den bedste beskyttelse opstår, når opdateringer kombineres med backup, adgangskontrol, multifaktorgodkendelse, overvågning og træning af medarbejderne.