Hvor hurtigt skal sikkerhedsopdateringer installeres?

Kritiske opdateringer på systemer, der er tilgængelige fra internettet, bør installeres inden for dage, ikke uger. Almindelige opdateringer på interne systemer kan følge en fast månedlig kadence. Aftal konkrete frister med din it-leverandør, og få dem skrevet ind i aftalen.

Er automatiske opdateringer ikke risikable for driften?

Risikoen for, at en opdatering skaber problemer, er reel men lille, og den er langt mindre end risikoen ved at køre uopdateret. For almindelige arbejdscomputere og cloud-tjenester bør automatik være standard. For forretningskritiske fagsystemer kan opdateringer testes kort før udrulning.

Hvem har ansvaret for opdateringer, når vi bruger en it-leverandør?

Det, der står i aftalen, og ofte mindre end ejeren tror. Mange driftsaftaler dækker kun servere og pc'er, ikke hjemmesiden, netværksudstyret eller fagsystemerne. Gennemgå aftalen, og dokumentér for hvert aktiv i dit register, hvem der patcher det.

Hvad med systemer, der ikke længere kan opdateres?

Styresystemer og programmer, der er udgået af support, modtager ingen sikkerhedsrettelser og er et voksende hul i forsvaret. Læg en plan for udskiftning, og isolér systemet fra internettet og det øvrige netværk, indtil den er gennemført. Dokumentér forholdet som en kendt risiko.

Fagterm

Patch-management

Patch-management er den løbende proces med at installere sikkerhedsopdateringer (patches) på styresystemer, programmer o…

Hvad er patch-management?

Patch-management er den løbende proces med at installere sikkerhedsopdateringer (patches) på styresystemer, programmer og udstyr, før kendte sårbarheder bliver udnyttet. Manglende opdatering er en af de hyppigste årsager til ransomware-angreb på SMV'er. I Ejerblik dokumenterer du, hvem der har ansvaret for opdatering af hvert system, så opgaven ikke falder mellem to stole.

Langt de fleste angreb udnytter sårbarheder, der har været kendte og lukkede i måneder. Angriberne scanner automatisk internettet for systemer, der ikke er opdateret, og en glemt server eller et forældet WordPress-plugin er et åbent vindue. Patch-management er derfor ikke avanceret sikkerhed, det er basal hygiejne med meget høj effekt.

For en ejerledet SMV behøver processen ikke være tung: slå automatiske opdateringer til overalt, hvor det er muligt, og aftal med it-leverandøren, hvem der patcher det, der ikke opdaterer sig selv, typisk servere, netværksudstyr, hjemmeside-CMS og fagsystemer. Det afgørende er, at hvert system har en navngiven ansvarlig og en fast kadence, ikke at ejeren selv trykker på knapperne.

Det klassiske svage punkt er systemer uden ejer: den gamle server i kælderen, hjemmesiden fra det forrige bureau, licensen ingen ved hvem der administrerer. Et komplet aktivregister er derfor forudsætningen for reel patch-management, man kan ikke opdatere det, man ikke ved man har.

I praksis

For ejerledere er kendskabet til patch-management særligt relevant i forbindelse med digital due diligence. En klar dokumentation af alle aktiver inden for denne kategori giver en mere troværdig og komplet virksomhedsprofil og reducerer risikoen for uklarheder under et salg eller ejerskifte.

Ofte stillede spørgsmål

Relaterede opslag

FagtermRansomwareEn type malware der krypterer virksomhedens filer og kræver løsesum for at frigive adgangen. Ransomware er den hyppigste og mest kostbare form for cyberangreb mod SMV'er. Effektiv backup er den vigtigste forsikring mod ransomware – kombineret med MFA og opdateret software.FagtermSårbarhedsscanningEn sårbarhedsscanning er en automatiseret gennemgang af virksomhedens systemer, der leder efter kendte sikkerhedshuller: manglende opdateringer, fejlkonfigurationer og svage indstillinger. Den er billigere og hyppigere end en penetrationstest og fungerer som et løbende sundhedstjek. Resultaterne dokumenteres bedst sammen med aktivregisteret, så hvert fund kan kobles til et konkret system og en ansvarlig.FagtermIT-sikkerhedspolitikEt internt dokument der beskriver virksomhedens regler og procedurer for IT-sikkerhed — herunder krav til adgangskoder, MFA, backup-rutiner og håndtering af sikkerhedshændelser. En IT-sikkerhedspolitik er et lovkrav for visse brancher og et hyppigt krav fra cyberforsikringsselskaber. Den er desuden et signal til medarbejdere og samarbejdspartnere om at virksomheden tager informationssikkerhed seriøst.FagtermLegacy SystemEt forældet IT-system der fortsat er i drift i virksomheden — typisk fordi det er svært, dyrt eller risikabelt at erstatte. Legacy-systemer udgør en sikkerhedsrisiko (manglende sikkerhedsopdateringer), en driftsrisiko (kompatibilitetsproblemer) og en forretningsmæssig risiko (svær at dokumentere og overdrage).FagtermShadow ITSoftware og digitale tjenester som medarbejdere bruger i arbejdssammenhæng uden IT-afdelingens eller ledelsens vidende. Shadow IT er en sikkerhedsrisiko: virksomhedsdata lagres i systemer der ikke er godkendte og som virksomheden ikke har styr på. Ejerblik hjælper med at afdække Shadow IT.

← Tilbage til leksikon

Klar til at kortlægge din virksomheds digitale aktiver?

Ejerblik guider dig trin for trin med 205+ foruddefinerede aktivtyper og AI-funktionen Kontoscanner.

Få gratis adgang

Ingen binding · Data i EU · Dansk support