Patch management

NIST SP 800-40 Rev. 4 (2022) omformulerer patching til forebyggende vedligeholdelse og anbefaler, at organisationer definerer et lille antal vedligeholdelsesplaner efter aktivtype og risiko i stedet for at behandle hver patch som et projekt. Den skelner mellem rutinemæssig patching i en fast kadence og nødpatching af sårbarheder, der aktivt udnyttes eller er kritiske på eksponerede systemer, og tilføjer to alternativer, når der ikke kan patches: afbødning (konfigurationsændringer, virtuel patching i en IPS eller WAF, isolering) og risikoaccept med en dokumenteret ejer og udløbsdato. En patchcyklus forløber typisk sådan: indsamling fra leverandørernes sikkerhedsmeddelelser og sårbarhedsfeeds, afstemning af relevans mod aktiv- og softwarefortegnelsen, prioritering, test, trinvis udrulning i ringe (en pilotgruppe, derefter bred udrulning), verifikation og håndtering af undtagelser.

Prioriteringen er rykket ud over CVSS-basisscoren, der beskriver teknisk alvor, men ikke sandsynlighed. Typiske input er nu CISA's katalog over Known Exploited Vulnerabilities (KEV), som amerikanske føderale myndigheder skal handle på efter Binding Operational Directive 26-04 (juni 2026, der afløste BOD 22-01), med en frist for hver CVE, der afhænger af aktivets eksponering, KEV-status, om udnyttelsen kan automatiseres, og den tekniske konsekvens, helt ned til tre dage for et internetvendt aktiv med en automatiserbar KEV, der giver fuld kontrol; Exploit Prediction Scoring System (EPSS) fra FIRST, der estimerer sandsynligheden for udnyttelse inden for de næste 30 dage; eksponering mod internettet; og aktivets kritikalitet. Tiden fra offentliggørelse til udnyttelse er i mange tilfælde faldet til dage, så kantudstyr - VPN-koncentratorer, firewalls, filoverførselsappliances - behandles generelt som nødpatching uanset interne frister.

Driftsvirkeligheden komplicerer cyklussen. Microsoft udsender sikkerhedsopdateringer den anden tirsdag i hver måned (Patch Tuesday), men tredjepartsapplikationer, browsere, firmware (BIOS/UEFI, BMC, netværksudstyr) og container-baseimages følger deres egne rytmer. Genstarter, servicevinduer og applikationskompatibilitet skaber forsinkelse; medicoudstyr og OT-systemer er ofte kun certificeret til bestemte versioner og kræver leverandørens godkendelse. End-of-life-software får slet ingen patches og skal isoleres eller udskiftes. Værktøjerne flytter mod cloudstyrede tjenester, og Microsoft meddelte i 2024, at WSUS er udfaset uden ny funktionsudvikling. I containeriserede miljøer er imaget patchenheden: rettelser indføres ved at genbygge fra en opdateret base og udrulle igen, ikke ved at patche kørende containere.

De nøgletal, revisorer og bestyrelser spørger efter, er dækning (andelen af aktiver, der rapporterer patchstatus), gennemsnitlig tid til afhjælpning pr. alvorsgrad og overholdelse af frister, med undtagelser registreret eksplicit. Kontrolankrene er CIS Controls v8 Control 7 (Safeguard 7.3 og 7.4 om automatiseret patching af styresystemer og applikationer), ISO/IEC 27002:2022 kontrol 8.8 (håndtering af tekniske sårbarheder) og NIS2 art. 21, stk. 2, litra e, om håndtering af sårbarheder. Patch management supplerer sårbarhedsscanning, der verificerer, at patches faktisk er installeret, og hærdning, der fjerner komponenter, som ellers skulle patches.