Het patroon achter veel incidenten
Een aanvaller hoeft zelden zelf een nieuwe kwetsbaarheid te vinden. Kwetsbaarheden in veelgebruikte pakketten worden openbaar gemaakt zodra ze zijn ontdekt. Geautomatiseerde scans zoeken daarna continu naar systemen waarop de update nog ontbreekt.
Het grootste risico zit dus niet in geavanceerde dreigingen, maar in het bijhouden van je software. Dat voelt nooit urgent, totdat het opeens wel urgent is.
Waarom updates blijven liggen
De angst dat er iets kapotgaat, weegt zwaarder dan het risico van niet updaten.Een update kan een bestaande koppeling verstoren. Daarom wordt hij uitgesteld tot er tijd is om hem rustig te testen. Die tijd komt zelden vanzelf.
Niemand is er echt verantwoordelijk voor.Bij veel teams voelt iedereen zich een beetje verantwoordelijk voor patchen. In de praktijk betekent dat dat niemand het doet, tot het te laat is.
Er is geen overzicht.Weet je niet welke pakketten waar draaien en hoe oud ze zijn, dan kun je niet bepalen wat als eerste moet gebeuren.
Zo los je dit structureel op
Geautomatiseerde scans die continu op bekende kwetsbaarheden controleren, vormen de basis. Daarnaast heb je een vast ritme nodig: wekelijks bekijken wat er speelt, met een afspraak over wie een kritieke melding binnen welke termijn oppakt.
Bij omgevingen die in de loop der jaren zijn gegroeid, is dat lastiger dan het lijkt. Toch is het goedkoper dan wachten tot een audit of een incident het zichtbaar maakt.
Bij beveiliging gaat het minder om het afslaan van aanvallen dan om het oppakken van wat je al weet.