Een beveiligingsadvies is informatie. Een geïnstalleerde update is een maatregel. Het verschil tussen die twee is een proces, en dat proces is waar het in de praktijk vaak stokt.
De stappen tussen signaal en actie
- Signaleren. Weten dat er een kwetsbaarheid is. Voor NCSC-advisories is dat eenvoudig: ze zijn openbaar en hebben een feed.
- Relateren. Bepalen of de getroffen software in jouw omgeving voorkomt. Dit vraagt een actuele inventaris van apparaten, applicaties en versies.
- Wegen. Hoe urgent is het? De kans/schade-inschatting van NCSC helpt, maar de context van jouw omgeving bepaalt de uitkomst: is het systeem publiek bereikbaar, wat draait erop, wie gebruikt het?
- Uitvoeren. De update installeren, of een tijdelijke maatregel toepassen als er nog geen update is.
- Controleren. Bevestigen dat de update daadwerkelijk is doorgevoerd op alle betrokken systemen, en niet alleen is aangeboden.
Waar het misgaat
De meeste organisaties hebben stap 1 en 4 wel geregeld: automatische updates staan aan en het nieuws wordt gevolgd. Stap 2, 3 en 5 ontbreken vaak. Dan weet je niet zeker of je kwetsbaar was, en ook niet of het probleem inmiddels is opgelost.
Waarom een herstelplan erbij hoort
Een update kan iets breken. Dat is geen reden om updates uit te stellen, wel om te zorgen dat je terug kunt: werkende backups, een bekende hersteltijd en een test van dat herstel. Patchbeleid en continuïteit zijn daarom in onze werkwijze één onderwerp, geen twee.