Het belang van patchen

Het belang van patchen en waarom je dit regelmatig moet doen

Vooral in een tijd waarin thuiswerken de norm is, worden er veel gegevens digitaal uitgewisseld. In dit nieuwe normaal wordt ook pijnlijk duidelijk dat IT-systemen en applicaties waarvan organisaties afhankelijk zijn, kleine maar vaak belangrijke fouten bevatten. Als deze fouten niet (tijdig) gecorrigeerd worden, is dat erg aanlokkelijk voor cybercriminelen, zoals hackers en virusschrijvers. We willen uiteraard voorkomen dat organisaties kwetsbaar zijn of worden voor cybercriminelen.

Grofweg komen hackers een netwerk binnen via een van de volgende drie routes: Het misbruiken van kwetsbaarheden, het misleiden van medewerkers of doordat er sprake is van misconfiguratie. Een van de manieren om jouw organisatie minder kwetsbaar maken is door te patchen. Wij zetten alle informatie in deze blog voor je op een rij.

Wat betekent patchen precies?

Een patch is een stuk additionele programmatuur dat door de fabrikant van de software wordt vrijgegeven. Eigenlijk doe je met het patchen van je systemen niets meer dan “pleisters op de wonden plakken”. Je verwerft, test en installeert patches: installatiebestanden die een kwetsbaarheid of fout in een programma herstellen of een programma verbeteren met bijvoorbeeld extra functionaliteit.

Waarom patchen zo ontzettend belangrijk is

Patchen is altijd al belangrijk geweest. Het massale thuiswerken heeft er voor gezord dat veel IT-systemen naar buiten toe opengezet moesten worden. Daardoor worden eventuele kwetsbaarheden ook publiek bereikbaar. De noodzaak om te patchen wordt daardoor veel zichtbaarder. Veel gegevens worden digitaal verzonden en met elkaar gedeeld. Daardoor worden veel organisaties plotseling geconfronteerd met het feit dat de systemen onvoldoende zijn beveiligd. Erg vervelend omdat dit juist een periode is waarin cybercriminelen actief zijn en hun kans ruiken om via vogelvrije werknemers een organisatie proberen binnen te dringen. Ze gebruiken misschien data om een cyberincident uit te lokken of verkopen de data door. Ook kunnen ze informatie buitmaken van een bepaald product waarvoor je intellectueel eigendom hebt of wilt aanvragen. Die info wil jij natuurlijk niet openbaar hebben. Daarom is het proces van patchen ontzettend belangrijk. Je wilt niet dat cybercriminelen jouw systeem binnendringen en er met de gegevens vandoor gaan.

Pijnpunten bij het patchen

Helaas is patchen ook zonder het vele thuiswerken van tegenwoordig bij veel organisaties nog steeds een hoofdpijndossier. Patchen is niet altijd zo eenvoudig als het klinkt en vraagt om een gedegen voorbereiding en planning. Voor Windows-omgevingen is het wellicht nog te overzien. Gaat het om Linux-systemen, netwerkcomponenten en storage apparatuur dan acht men vaak de risico’s kleiner, is de impact groter, of is het de verantwoordelijkheid van een ander team.

In de praktijk gebeurt het daardoor regelmatig dat IT-afdelingen het overzicht kwijtraken, patches uitstellen of ze gewoon helemaal niet installeren. Het is vaak overweldigend hoe lang de lijsten met te patchen systemen zijn die de IT-beveiligingsteams bij de IT-afdelingen aanleveren. IT-teams hebben het vaak erg druk en hebben meestal maanden nodig om patches te testen en te installeren. Het komt ook voor dat wordt besloten om ze gewoon niet te installeren. Uit onderzoek van Crowdstrike blijkt dat de meeste organisaties geen formeel patchbeleid hebben. Daarom is er weinig stimulans voor informatiebeveiliging.

Tips om op tijd en juist te patchen

Patchen is dus een complex proces. Je kunt hiermee namelijk meerdere IT-systemen raken. Ook kan de implementatie van een patch ervoor zorgen dat het IT-landschap van een bedrijf instabiel raakt.Het is dus een belangrijk om op tijd te patchen zodat je ernstige gaten in de software kunt dichten. Hoe langer je wacht met het installeren van de vereiste patch, hoe groter de kans op een cyberincident.
Zorg altijd dat je op de hoogte bent van de laatste patches en de juiste processen inricht aan de hand van de volgende tips:

1. Patch op een vast terugkerend tijdstip
   Plan een vast terugkerend tijdstip in om te patchen. Zo voorkom je dat systemen te lang niet worden bijgewerkt. Stel bijvoorbeeld een onderhoudsvenster in om alle besturingssystemen te voorzien van de laatste updates. Daarbij kan je uiteraard verschillende cycli aanhouden voor de verschillende soorten patches. Urgente of kritische patches vragen om een andere aanpak dan reguliere patches.
2. Meld je aan op relevante security mailinglists
   Met alleen een Microsoft- of Linuxupdate kom je er niet. Zorg ervoor dat je een overzicht hebt van alle software, inclusief rand- en IoT-apparatuur die in de organisatie draait. Meld je aan op de relevante mailinglists van deze software zodat je altijd op de hoogte bent. Een andere mogelijkheid is om gebruik te maken van een dienst zoals Vulnerability Scanning en Management. Daarmee krijg je inzicht in de kwetsbaarheden, ook als er nog geen patch beschikbaar is, en kan je proactief passende actie ondernemen.
3. Stel een risicoplan op voor onverwachte omstandigheden
   Meestal volstaat het om updates mee te nemen in de reguliere onderhoudsvensters. Maar constateer je ernstige kwetsbaarheden, dan is het wel wenselijk om tussentijds te patchen. Stel daarom een risicoplan op met wat er moet gebeuren als je onverwacht moet patchen. Zo veroorzaak je zo min mogelijk overlast voor je gebruikers en klanten.