Patch management: perché aggiornare e come organizzarlo in azienda

«Aggiorna più tardi» è probabilmente il pulsante più cliccato nelle aziende. Rimandare un aggiornamento sembra innocuo, ma molti attacchi sfruttano proprio vulnerabilità per cui la correzione esisteva già. Il patch management è il processo che trasforma gli aggiornamenti da fastidio occasionale a routine controllata.

Cos'è il patch management

Una patch è un aggiornamento rilasciato dal produttore per correggere un errore, chiudere una vulnerabilità di sicurezza o migliorare il funzionamento di un software. Il patch management è l'insieme delle attività con cui un'azienda:

• sa quali aggiornamenti sono disponibili per i propri sistemi;
• decide quali installare e con quale priorità;
• li distribuisce in modo controllato;
• verifica che siano stati applicati correttamente.

Perché è così importante

Quando un produttore pubblica una correzione di sicurezza, la vulnerabilità diventa di fatto pubblica. Da quel momento chi attacca può studiarla e cercare sistemi che non sono ancora stati aggiornati. Più a lungo un sistema resta senza patch, più resta esposto.

Gli aggiornamenti servono anche per:

• stabilità: correggono errori che causano blocchi e malfunzionamenti;
• compatibilità: mantengono il dialogo tra applicazioni, sistemi operativi e servizi cloud;
• conformità: il GDPR, all'art. 32, chiede misure di sicurezza adeguate al rischio, e la NIS2 include la gestione delle vulnerabilità tra le misure richieste ai soggetti interessati.

Non solo Windows: i software di terze parti

Molte aziende si fermano agli aggiornamenti del sistema operativo, spesso gestiti in automatico. Ma la superficie di attacco comprende molto altro:

• browser e relativi componenti;
• lettori PDF, suite da ufficio, strumenti di compressione;
• runtime e librerie usati da altre applicazioni;
• client di videoconferenza e accesso remoto;
• firmware di firewall, switch, access point, NAS e stampanti;
• server e applicazioni esposte su internet, come VPN e portali web.

I software di terze parti sono spesso il punto più trascurato, perché ognuno ha un proprio meccanismo di aggiornamento e non sempre l'utente ha i permessi per installarlo. Gli apparati di rete, poi, si aggiornano raramente perché «funzionano», ma sono in prima linea verso internet.

Come organizzare il patch management

1. Sapere cosa c'è

Non si può aggiornare ciò che non si conosce. Serve un inventario degli asset IT con dispositivi, sistemi operativi e software installati, comprese le versioni.

2. Stabilire le priorità

Non tutte le patch hanno la stessa urgenza. Conviene considerare:

• la gravità della vulnerabilità indicata dal produttore;
• se è già sfruttata attivamente;
• se il sistema è esposto su internet;
• quanto è critico il sistema per l'azienda.

Gli aggiornamenti critici su sistemi esposti vanno applicati il prima possibile; per gli altri si può seguire il ciclo ordinario.

3. Testare prima di distribuire

Un aggiornamento può raramente creare problemi con applicazioni specifiche, come gestionali o software di produzione. Una buona pratica è distribuire prima a un gruppo pilota, verificare per qualche giorno e poi estendere a tutti.

4. Pianificare le finestre di manutenzione

Riavvii e aggiornamenti dei server vanno programmati in orari che non interrompano il lavoro, comunicandoli in anticipo. Per le postazioni si può impostare un termine oltre il quale il riavvio diventa obbligatorio.

5. Verificare e documentare

Dopo la distribuzione si controlla cosa è stato installato e cosa no, si indagano i fallimenti e si conserva traccia. Un report periodico permette alla direzione di vedere lo stato reale.

6. Gestire ciò che non si può aggiornare

Esistono sistemi che non ricevono più aggiornamenti, come macchine collegate a impianti o sistemi operativi fuori supporto. Vanno isolati in rete, protetti e inseriti in un piano di sostituzione. Un caso molto diffuso è quello di Windows 10 fuori supporto.

Checklist

• ☐ Inventario aggiornato di dispositivi e software
• ☐ Aggiornamenti del sistema operativo gestiti centralmente
• ☐ Software di terze parti inclusi nel processo
• ☐ Firmware di apparati di rete verificati periodicamente
• ☐ Criteri di priorità definiti per le patch critiche
• ☐ Gruppo pilota e finestre di manutenzione
• ☐ Report periodico su patch installate e mancanti
• ☐ Piano per i sistemi non più aggiornabili

Come può aiutarti Area GUI

Area GUI gestisce gli aggiornamenti di sistemi operativi, software di terze parti e apparati con un processo pianificato, monitorato e documentato. Scopri il servizio Managed IT e la gestione delle vulnerabilità, oppure contattaci.