Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Definire copertura e responsabilità
NIST SP 800-40 Rev. 4 descrive il patch management come identificazione, prioritizzazione, acquisizione, installazione e verifica di patch, aggiornamenti e upgrade. Il perimetro comprende sistemi operativi, applicazioni, firmware, apparati di rete, cloud, endpoint, IoT e strumenti di sicurezza.
Per ogni classe servono proprietario, fonte degli avvisi, strumento di distribuzione, finestra e procedura di emergenza. Asset sconosciuti o fuori supporto devono emergere come rischio, non scomparire dal report.
- Inventario e criticità del servizio
- Versione e stato di supporto
- Responsabile tecnico e proprietario del processo
- Canale degli avvisi del produttore
- Copertura effettiva dello strumento
Dare priorità e provare
La severità CVSS non basta. Priorità e tempi devono considerare sfruttamento attivo, esposizione a Internet, privilegi richiesti, dati e servizio coinvolti, disponibilità di mitigazioni e conseguenze operative.
Un gruppo pilota rappresentativo riduce il rischio di incompatibilità. Backup, rollback, dipendenze, spazio e prerequisiti vanno controllati prima della distribuzione. Le patch urgenti richiedono un percorso accelerato ma sempre registrato.
- Sfruttamento noto e facilità di attacco
- Esposizione e valore dell’asset
- Test pilota e criteri di successo
- Rollback o mitigazione alternativa
- Comunicazione agli utenti e supporto
Verificare ed eliminare le eccezioni permanenti
Il successo del job non dimostra da solo che la versione sia corretta. Scansioni, inventario software e controlli a campione devono confermare installazione, riavvio e funzionalità del servizio.
Ogni eccezione deve avere motivazione, rischio, controllo compensativo, proprietario e scadenza. Metriche utili mostrano copertura, tempo di correzione, asset falliti e sistemi fuori supporto, distinguendo quantità da riduzione reale del rischio.
Domande frequenti
Tutte le patch vanno installate immediatamente?+
La velocità dipende dal rischio e dal contesto. Vulnerabilità sfruttate su sistemi esposti richiedono urgenza; altri aggiornamenti possono seguire test e finestre pianificate.
L’aggiornamento automatico basta?+
No. Occorre conoscere copertura, fallimenti, riavvii, incompatibilità, firmware e tecnologie non gestite dallo stesso strumento.
Come gestire un sistema non aggiornabile?+
Con eccezione approvata e temporanea, mitigazioni, maggiore monitoraggio e un piano concreto di sostituzione o isolamento.