Ongepatchte gaten bezorgen bedrijven meer schade

"Het is algemeen bekend dat patching moeilijk kan zijn en dat het verstoringen kan veroorzaken", erkent Cisco in de nu uitgebrachte 2020 CISO Benchmark. Toch is het steeds noodzakelijker voor organisaties om patchprocedures op orde te hebben. Bevindingen in het nieuwe securityrapport van de netwerkleverancier geven aan dat er een tastbare ROI (return-on-investment) is voor patchen.

Inventaris, inschatting, bijhouden

Cisco raadt aan om een minimaal basisbeleid te implementeren voor de meest recent vrijgegeven patches. "Organisaties moeten een up-to-date inventaris bijhouden van alle devices in hun omgeving, en een risico-analyse uitvoeren voor eventuele ontbrekende patches", aldus het advies in het CISO-rapport. Daarmee is een organisatie er echter nog niet. Voortvloeiend uit inventarisatie en risico-analyse komt het opzetten van een verandermanagementproces (change management process) om versiebeheer én documentatie van patchniveaus af te dwingen.

In het 2020-rapport constateert Cisco dat afgelopen jaar 46 procent van de organisaties een beveiligingsincident heeft gehad die is veroorzaakt door een ongepatchte kwetsbaarheid. Dit is aanzienlijk gestegen ten opzichte van 2018; toen lag dit percentage nog op 30 procent. Bovendien hadden de organisaties die zijn getroffen door patchgebrek een hogere mate van dataverlies, merkt Cisco op. De leverancier van netwerkapparatuur heeft voor dit CISO-rapport 2800 beveiligingsprofessionals uit 13 landen bevraagd.