Aktualizacje bezpieczeństwa systemów i programów

Dlaczego aktualizacje są jednym z najważniejszych zabezpieczeń

Producenci systemów operacyjnych i programów regularnie publikują poprawki usuwające wykryte luki bezpieczeństwa — błędy w kodzie, które pozwalają na nieautoryzowany dostęp, uruchomienie złośliwego oprogramowania albo przejęcie kontroli nad urządzeniem. Problem w tym, że informacja o łatanej luce staje się jednocześnie informacją dla przestępców, którzy szukają komputerów bez zainstalowanej poprawki — im dłużej stanowisko pozostaje nieaktualne, tym dłużej jest wystawione na atak wykorzystujący już opisaną i publicznie znaną słabość.

To odróżnia aktualizacje bezpieczeństwa od zwykłych aktualizacji funkcjonalnych, dodających nowe możliwości programu. Poprawka bezpieczeństwa nie jest kwestią wygody czy nowych funkcji — jest zamknięciem konkretnej, znanej furtki. Odkładanie jej instalacji „na później" oznacza świadome pozostawienie otwartych drzwi.

Warianty problemu w firmach

Wyłączone automatyczne aktualizacje

Część firm wyłącza automatyczne aktualizacje systemu, żeby uniknąć restartów komputera w trakcie pracy albo z obawy, że aktualizacja zepsuje działanie jakiegoś programu. W efekcie stanowiska nie są łatane miesiącami.

Aktualizacje systemu bez aktualizacji programów

System operacyjny aktualizuje się automatycznie, ale przeglądarka, czytnik PDF, program pocztowy czy wtyczki biurowe — już nie. Tymczasem to właśnie popularne programy trzecich firm są częstym celem ataków, bo mają szeroką bazę użytkowników i niekoniecznie tak rygorystyczny proces łatania jak systemy operacyjne dużych producentów.

Sprzęt zbyt stary na aktualizacje

Starsze komputery, na których zainstalowany jest system bez już obsługiwanego wsparcia technicznego producenta, przestają otrzymywać poprawki bezpieczeństwa w ogóle — niezależnie od tego, czy ktoś klika „aktualizuj". To sytuacja wymagająca decyzji o wymianie systemu albo sprzętu, nie samej konfiguracji.

Serwery i urządzenia sieciowe pominięte w rutynie

Aktualizacje stacji roboczych bywają pilnowane, ale serwer plików, router czy urządzenie NAS w firmowej sieci — działające „w tle" i rzadko widziane — łatwo wypadają z rutynowego przeglądu, mimo że mają dostęp do tych samych danych firmowych.

Co robimy przy porządkowaniu aktualizacji

Punktem wyjścia jest przegląd stanu wszystkich stanowisk, serwerów i urządzeń sieciowych w firmie — które systemy i programy są aktualne, które zalegają z poprawkami, a które działają na już niewspieranych wersjach systemu wymagających osobnej decyzji o wymianie.

Dla stanowisk, na których aktualizacje da się bezpiecznie zautomatyzować, konfigurowane jest harmonogram instalacji poprawek w porach niekolidujących z pracą zespołu — na przykład poza godzinami pracy biura, z automatycznym restartem tam, gdzie jest konieczny. Dla programów niepodlegających centralnemu zarządzaniu ustalana jest rutyna ręcznego sprawdzania i instalowania poprawek w regularnych odstępach.

Ważnym elementem jest też rozróżnienie: nie każda aktualizacja powinna instalować się natychmiast i bez kontroli — w środowiskach, gdzie stabilność konkretnego oprogramowania księgowego czy magazynowego ma krytyczne znaczenie, poprawki bywają najpierw sprawdzane na jednym stanowisku testowym, zanim trafią na resztę firmy.

Błędy przy samodzielnym zarządzaniu aktualizacjami

• Odkładanie aktualizacji „bo akurat coś się liczy" na stałe. Jednorazowe odłożenie restartu w trakcie ważnej pracy jest zrozumiałe, ale bez powrotu do tematu odkładanie zamienia się w trwałe pominięcie poprawki.
• Aktualizowanie tylko systemu operacyjnego. Przeglądarka, wtyczki i programy biurowe pozostają nieaktualne, mimo że to one bywają najczęstszym wektorem ataku poprzez złośliwe załączniki i strony internetowe.
• Brak testowania poprawek przed masowym wdrożeniem w środowiskach o krytycznym znaczeniu. Rzadkie, ale zdarzające się przypadki, gdy aktualizacja koliduje z konkretną konfiguracją programu księgowego, można ograniczyć testem na jednym stanowisku przed wdrożeniem na wszystkich.
• Pomijanie urządzeń sieciowych. Router czy NAS z nieaktualnym oprogramowaniem układowym (firmware) bywa całkowicie pomijany w rutynie, choć ma dostęp do całego ruchu sieciowego firmy.
• Praca na systemie, który przestał być wspierany. Starszy system operacyjny bez wsparcia producenta nie otrzymuje już żadnych poprawek bezpieczeństwa — żadna konfiguracja tego nie zmieni, potrzebna jest wymiana systemu albo sprzętu.

Dodatkowe pytania klientów

Czy aktualizacje mogą zepsuć działanie programu firmowego?

Zdarza się sporadycznie, dlatego w środowiskach o krytycznym znaczeniu (na przykład systemy księgowe) dobrą praktyką jest wcześniejsze przetestowanie poprawki na jednym stanowisku, zanim trafi na resztę firmy.

Jak często trzeba sprawdzać dostępność aktualizacji?

Tam, gdzie da się to zautomatyzować, aktualizacje instalują się same według ustalonego harmonogramu. Programy niepodlegające automatyzacji warto sprawdzać regularnie, w stałych odstępach — nieregularne, przypadkowe sprawdzanie „od czasu do czasu" jest najczęstszą przyczyną zaległości.

Co zrobić, gdy komputer jest za stary na aktualny system?

To sytuacja wymagająca osobnej decyzji — czasem wystarczy rozbudowa sprzętu, żeby udźwignął aktualny system, czasem konieczna jest wymiana komputera. Diagnoza pokazuje, która opcja ma sens w konkretnym przypadku.

Czy warto aktualizować urządzenia sieciowe, skoro działają bez zarzutu?

Tak — brak widocznych problemów w działaniu nie oznacza braku luk bezpieczeństwa. Aktualizacje oprogramowania układowego routerów i urządzeń NAS łatają luki niewidoczne w codziennym użytkowaniu, ale wykorzystywane przez atakujących właśnie dlatego, że rzadko są łatane.

Czy same aktualizacje wystarczą, żeby firma była bezpieczna?

Nie w pojedynkę — to jeden z elementów szerszej ochrony, obok ochrony antywirusowej, uwierzytelniania dwuskładnikowego i odpowiednio skonfigurowanego firewalla. Nieaktualne oprogramowanie jest jednak jedną z najczęstszych dróg, którymi dochodzi do włamań, więc jest to element o wyjątkowo dużym znaczeniu.

Kiedy to nie jest problem aktualizacji, tylko coś innego

Jeśli komputer mimo aktualnego oprogramowania wykazuje objawy infekcji — spowolnienie, nietypowe okna, niechciane paski w przeglądarce — problemem jest już obecne złośliwe oprogramowanie, a nie brakująca poprawka; tematem jest wtedy ochrona przed złośliwym oprogramowaniem. Jeśli obawa dotyczy konkretnie tego, jak nieaktualne oprogramowanie wpływa na bezpieczeństwo danych osobowych podlegających RODO, dokładniejszym punktem odniesienia są aktualizacje i podatności a ochrona danych.

Warunki współpracy

Konfiguracja harmonogramu aktualizacji i uporządkowanie stanu stanowisk wycenia się indywidualnie, zależnie od liczby komputerów i serwerów objętych przeglądem — cennika usług nie publikujemy. Dojazd do klienta na terenie Warszawy i okolicznych powiatów jest bezpłatny. Na wykonaną konfigurację obowiązuje gwarancja do 12 miesięcy. Firma nie jest płatnikiem VAT, więc wykonaną pracę dokumentuje fakturą bez VAT.

Przykład z praktyki

Typowe zgłoszenie: firma korzysta z kilkunastu komputerów, na większości automatyczne aktualizacje systemu są włączone, ale nikt nie sprawdzał od miesięcy stanu przeglądarek, czytników PDF ani wtyczek biurowych. Podczas przeglądu okazuje się, że na jednym ze stanowisk przeglądarka nie była aktualizowana od kilku miesięcy — z kilkoma znanymi, publicznie opisanymi lukami bezpieczeństwa, które w tym czasie zostały już załatane w nowszych wersjach. Sam fakt korzystania z takiej przeglądarki nie oznacza automatycznie infekcji, ale oznacza wystawienie stanowiska na atak, który w nowszej wersji programu po prostu by się nie powiódł. Po uporządkowaniu — instalacji zaległych poprawek i skonfigurowaniu automatycznych aktualizacji tam, gdzie program na to pozwala — ryzyko związane z tą konkretną, znaną już lukę znika.

Dlaczego niektóre firmy celowo opóźniają aktualizacje

Nie każde opóźnienie wynika z zaniedbania. Część firm celowo wstrzymuje najnowsze aktualizacje o kilka dni lub tygodni, żeby uniknąć problemów wynikających z rzadkich, ale zdarzających się błędów w świeżo wydanej poprawce — historia zna przypadki aktualizacji wycofywanych przez producentów krótko po publikacji z powodu wykrytych usterek. To podejście ma sens w środowiskach o krytycznym znaczeniu, pod warunkiem że opóźnienie jest świadome, ograniczone w czasie i dotyczy zweryfikowanego ryzyka — a nie staje się wygodnym pretekstem do nieinstalowania poprawek w ogóle.

Aktualizacje a praca zdalna

Komputery używane poza biurem — w pracy zdalnej albo w podróży — łatwo wypadają z rutyny aktualizacji, bo nie są podłączone do firmowej sieci w momencie, w którym harmonogram przewiduje instalację poprawek. Rozwiązaniem jest skonfigurowanie aktualizacji tak, żeby uruchamiały się przy każdym połączeniu z internetem, niezależnie od tego, czy komputer jest akurat w biurowej sieci, oraz okresowe sprawdzanie stanu takich stanowisk zdalnie, bez konieczności fizycznej wizyty przy każdym z nich.

Aktualizacje na urządzeniach mobilnych firmy

Telefony i tablety używane służbowo do odbierania poczty czy logowania do systemów firmowych podlegają tej samej zasadzie co komputery — nieaktualny system operacyjny na telefonie jest równie realną furtką jak nieaktualny komputer w biurze, a bywa łatwiej pominięty w rutynowym przeglądzie, bo rzadziej kojarzy się z tematem bezpieczeństwa firmowego.