Patchen blijkt nog steeds een hoofdpijndossier te zijn binnen veel organisaties. Nog te vaak raken IT-afdelingen het overzicht kwijt, worden patches uitgesteld of worden ze helemaal niet geïnstalleerd.
Dat staat in een nieuw rapport van IT-beveiligingsbedrijf CrowdStrike. Een aantal recente hacks en ransomware-infecties zijn het gevolg van het niet of te laat installeren van patches voor bijvoorbeeld VPN-software. CrowdStrike kwam dit soort praktijken in 2019 ook regelmatig tegen bij klanten. Patchen is nog altijd niet eenvoudig, concludeert het bedrijf.
In 2019 hadden organisaties nog steeds moeite om kwetsbaarheden te identificeren, prioriteit te geven aan kritieke systemen en patches uit te rollen, aldus CrowdStrike.
IT-teams worden opgezadeld met heel veel taken en daardoor hebben ze vaak maanden nodig om patches te installeren of besluiten ze zelfs om deze helemaal uit te stellen omdat de updates een negatieve invloed kunnen hebben op productiesystemen.
Gebrek aan verantwoordelijkheid
Onderzoekers van CrowdStrike zien bij organisaties ook vaak dat er sprake is van een gebrek aan verantwoordelijkheid voor het niet implementeren van patches. De meeste organisaties hebben geen formeel patch-beleid of enige vorm van handhavingsmechanismen om ervoor te zorgen dat hun systemen gepatcht blijven. Daardoor ontbreken de stimulansen voor informatiebeveiliging en IT-teams ontbreken vaak.
Daar komt bij dat patchen een knap ingewikkelde klus is geworden. IT-beveiligingsteams benaderen IT-afdelingen met lijsten van te patchen systemen. Dit is vaak overweldigend. Hoewel kwetsbaarheden als kritisch, hoog, gemiddeld, laag en informatief worden bestempeld, weten sommige IT-teams niet weten waar ze moeten beginnen, aldus de onderzoekers.
Lees het hele CrowdStrike Services Cyber front lines report.