Patchhantering och SLA:er

Ett SLA omvandlar en avsikt till en tidsfrist. Det anger den maximalt tillåtna tiden från upptäckt till åtgärd, indelad efter allvarlighetsgrad. Exempel på mål:

• Kritisk / KEV: 7–15 dagar (eller snabbare för internetexponerade system).
• Hög: 30 dagar.
• Medel: 90 dagar.
• Låg: efter bästa förmåga / nästa cykel.

SLA:er gör ålder mätbar och skapar tryck att stänga fynd, inte bara bekräfta dem.

Koppla tidsfristen till den faktiska risken, inte bara till CVSS. En kritisk sårbarhet som finns i KEV eller är internetexponerad bör ha ett striktare SLA än en intern sårbarhet med medelhög risk.

Referensramverk är användbara: CISA kräver att myndigheter på federal nivå åtgärdar KEV-poster inom fastställda tidsfrister, och många företag inför liknande förkortade tidslinjer för aktivt utnyttjade sårbarheter, oavsett CVSS.

Patchar kan orsaka problem. Testning i staging fångar regressioner innan de når produktionen:

• Tillämpa först på en representativ testgrupp.
• Validera kritisk funktionalitet och prestanda.
• Bekräfta att inga konflikter finns med befintlig programvara.

Balansera snabbhet och säkerhet: för en KEV-sårbarhet som utnyttjas i det fria bör större risk accepteras och patchning ske snabbare än för en rutinuppdatering.

Distribuera i vågor (ringdistribution): pilotgrupp, därefter bredare ringar och slutligen alla system. Övervaka hälsotillståndet i varje ring innan nästa steg.

Ha alltid en återställningsplan: ögonblicksbilder, nedgradering av paket eller återställning av konfiguration. Om en patch orsakar ett avbrott måste det gå att snabbt återgå till föregående läge medan problemet utreds.

Manuell patchning kan inte skalas. Använd centraliserade verktyg:

• WSUS / SCCM / Intune för Windows.
• Konfigurationshantering (Ansible, Puppet, Chef) för Linuxmiljöer.
• Golden images och basavbildningar som byggs om med patchar för moln och containrar.

Automatisering säkerställer konsekvens och minskar tiden mellan att en patch släpps och distribueras.

Ibland går det inte att patcha omedelbart: leverantörsförseningar, känsliga äldre system eller krav på tillgänglighet. Tillämpa kompenserande kontroller för att minska risken under tiden:

• Nätverkssegmentering / brandväggsregler.
• Virtuell patchning via WAF- eller IPS-signaturer.
• Inaktivering av den sårbara funktionen eller tjänsten.

Detta köper tid, men är ingen permanent ersättning för den riktiga åtgärden.

System som nått slutet av sin livscykel kanske inte har någon patch alls. Alternativ:

• Isolera dem i ett begränsat nätverkssegment.
• Skydda dem med strikta åtkomstkontroller och övervakning.
• Planera migrering eller avveckling med en tidsfrist.
• Acceptera den kvarstående risken formellt, med ett slutdatum.

Dokumentera allt. Ett opatchningsbart system som lämnas odokumenterat innebär en revisions- och intrångsrisk.

Följ upp om programmet faktiskt uppfyller sina åtaganden:

• MTTR per allvarlighetsgrad jämfört med SLA-målet.
• SLA-efterlevnadsgrad (procentandel som stängts inom tidsfristen).
• Försenade / åldrande fynd per team och tillgång.
• Patchningsgrad (procentandel av miljön som är aktuell).

Rapportera per ansvarigt team så att ansvaret blir synligt och långsamma områden får uppmärksamhet.

Efter distributionen ska ni verifiera: skanna på nytt för att bekräfta att CVE:n är borta och att systemet fungerar korrekt, och stäng sedan fyndet med underlag. För tillbaka återkommande problem (ett bibliotek som fortsätter att dyka upp, ett team som ständigt är försenat) till processförbättringsarbetet.

Väl genomförd patchhantering omvandlar prioriterad risk till mätbar riskminskning i tid.

Patchhantering driver prioriterade fynd till slutförande genom identifiering, bedömning, testning, stegvis distribution och verifiering, med stöd av återställningsplaner och automatisering. SLA:er anger tidsfrister baserade på allvarlighetsgrad och risk (striktare för KEV och internetexponerade system), så att åtgärder genomförs i tid.

När patchning inte är möjlig används kompenserande kontroller och dokumenterad, tidsbegränsad riskacceptans. Mät MTTR, SLA-efterlevnad och täckning, och för tillbaka lärdomarna till livscykeln.