A McAfee tanulmánya, melyet az Ipsos Research végzett el, több mint 600 vezető IT döntéshozót vizsgált olyan európai vállalatoknál, amelyek alkalmazottainak létszáma meghaladja a 250 főt. A cél az volt, hogy jobban megértsék a vállalatok javítócsomag- megközelítéseit, az egyik legjelentősebb IT biztonsági kihívást, amellyel a nagyvállalatok szembe kell, hogy nézzenek.

A fontosabb eredmények a következők:

A megkérdezettek több mint negyede (27%) szerint több mint 48 órát vesz igénybe a javítás megjelenését követően, mire az IT infrastruktúrájuk teljes védelmet kap az adott sérülékenységgel szemben. Minden ötödik válaszadó esetében (19%) ez az időtartam meghaladja az egy hetet
Az eurĂłpai vĂĄllalkozĂĄsok tĂśbb mint harmada (36%) nem tudja, mennyi javĂ­tĂĄst alkalmaztak vĂĄllalkozĂĄsuknĂĄl egy 6 hĂłnapos periĂłduson belĂźl
A megkĂŠrdezett IT szakemberek 58%-a nem tudja, hogy a javĂ­tĂĄsok telepĂ­tĂŠse mennyibe kerĂźl vĂĄllalatĂĄnak
Minden ĂśtĂśdik (20%) IT szakember naponta tĂśbb, mint egy ĂłrĂĄt tĂślt el sĂŠrĂźlĂŠkenysĂŠgek ĂŠs javĂ­tĂĄsok utĂĄn kutatva
A megkĂŠrdezettek 45%-a nem rangsorolja a vĂĄllalkozĂĄs terĂźleteit a javĂ­tĂĄsok szempontjĂĄbĂłl

A gyorsabb és kifinomultabb IT fenyegetések, valamint az egyre nagyobb és komplexebb IT rendszerek következtében a patch-kezelés komoly gondot jelent sok nagyvállalat számára. Az alatt az idő alatt, míg egy új javítócsomag meg nem jelenik, és azt nem telepítik a szervezeten belül, a vállalkozás sebezhető a biztonsági résekkel, a tömeges üzemszünetekkel és a termelékenység kiesésével szemben, és végső soron elvesztheti ügyfelei bizalmát.

Időigényes folyamat

A patch-ek telepĂ­tĂŠse bonyolult folyamat, kĂźlĂśnĂśsen nagyobb vĂĄllalatok esetĂŠben – tĂśbb napnyi keresgĂŠlĂŠst, tesztelĂŠst ĂŠs telepĂ­tĂŠst jelenthet minden egyes javĂ­tĂłcsomagnĂĄl. A McAfee tanulmĂĄnya feltĂĄrja a patch-kezelĂŠsre felhasznĂĄlt erőforrĂĄsok nagysĂĄgĂĄt azon megkĂŠrdezetteknĂŠl, akik napi szinten egy ĂłrĂĄt meghaladĂł időtartamot tĂśltenek a patch-ek ĂŠs a sĂŠrĂźlĂŠkenysĂŠgek keresĂŠsĂŠvel. OlaszorszĂĄgban majdnem egyharmaduk (31%) tĂślt ennyi időt patch-ek keresĂŠsĂŠvel, mĂ­g NĂŠmetorszĂĄgban ez az ĂŠrtĂŠk 24%. EurĂłpĂĄban minden tizedik IT szakember ĂŠvi szinten 240 ĂłrĂĄt tĂślt sĂŠrĂźlĂŠkenysĂŠgek felkutatĂĄsĂĄval, ami 5 munkahĂŠtnek felel meg.

A sérülékenység egyre növekvő ablaka

A javítások teljes mértékű telepítése alatt a vállalat nyitva áll a támadások előtt. Európában a megkérdezettek negyede elismerte, hogy a javítás megjelenése és annak teljes mértékű telepítése között eltelt időablak 48 óra, vagy annál is több volt. Minden tizedik (19%) európai vállalatnak több mint egy hétbe kerül a javítások telepítése. A sérülékenységi ablak Franciaországban a legnagyobb, ahol a megkérdezetteknek több mint a negyedénél (27%) egy hétnél is több időt vesz igénybe vállalatuk védelmének biztosítása.

A javĂ­tĂĄsok kezelĂŠsi kĂśltsĂŠgei

A felmérés azt a meglepő eredményt hozta, hogy sok IT szakember nincs tisztában azzal, hogy hány javítócsomagot is telepítettek, illetve hogy ezek mennyibe kerültek vállalatuknak. A forgalomba hozott patch-ek száma olyan nagy, hogy a megkérdezett európaiaknak több mint a harmada (36%) nem is tudta, mennyi jelent meg belőlük egy hat hónapos periódus alatt, és 58%-uk nem tudta, hogy az eljárás milyen költséget jelent vállalatának. Ez annak ellenére így van, hogy az IDC előrejelzése szerint a patch-kezelés európai piaca eléri a 88 millió dollárt 2010-re.

Ami bizonyos, hogy a legtöbb vállalat úgy látja, hogy több erőforrást kell a javítások kezelésére áldozniuk a jövőben. Több mint felük (54%) mondta azt, hogy többet fognak befektetni ezen a területen a jövőben, a német vállalatokkal az élen, amelyeknek 68%-a tervezi az erőforrások növelését.

A vĂŠdelem rangsorolĂĄsa

Az egyre kifinomultabb IT fenyegetések, illetve a korlátozott IT erőforrások miatt a vállalatoknak a valós helyzetet tükröző patch-kezelési stratégiát kell alkalmazniuk. Ennek a megközelítésnek a középpontjában a vállalati kritikus forrásainak meghatározása, valamint ezen források védelmére szolgáló erőforrások rangsorolása kell, hogy álljon. A McAfee tanulmánya szerint az európai vállalatok egyre inkább elfogadják ezt a stratégiát, a megkérdezettek 45%-a üzletük azon területeit helyezi előtérbe, ahol a javításokat először telepíti. A tanulmány szerint azonban a vállalkozások jelentős része nem koncentrálja erőforrásait a kritikus forrásoknak a sérülékenységekkel szembeni védelemre.

A vállalatoknak a rangsorolt patch-kezelést kombinálniuk kellene a proaktív blokkoló megoldásokkal, amelyek megvédhetik a hálózatot mind az ismert, mind az ismeretlen fenyegetésekkel szemben, ezáltal értékes extra időt biztosítva a javítások kutatására és telepítésére.

MegfelelĂŠs

A patch-kezelĂŠs azĂŠrt is fontos a vĂĄllalkozĂĄsok szĂĄmĂĄra, mert befolyĂĄssal lehet a kĂźlĂśnbĂśző kormĂĄnyzati szabĂĄlyozĂĄsoknak - mint a Sarbannes Oxley, a HIPPA ĂŠs a MiFID – valĂł megfelelĂŠsĂźkre is. A rendszer legĂşjabb patch-ekkel tĂśrtĂŠnő megvĂŠdĂŠsĂŠnek kudarca komoly kĂśvetkezmĂŠnyekkel jĂĄrhat ezen szabĂĄlyozĂĄsok vonatkozĂĄsĂĄban. A felmĂŠrĂŠs szerint EurĂłpĂĄban a legtĂśbb szervezet megtette a szĂźksĂŠges lĂŠpĂŠseket, a megkĂŠrdezettek 82%-a bĂ­zik sajĂĄt patch-kezelĂŠsi politikĂĄjĂĄnak megfelelősĂŠgĂŠben.

„A nagyvĂĄllalatok visszajelzĂŠsei egyĂŠrtelmĹąek – a patch-kezelĂŠs komoly gondot okoz nekik” – mondja John Parker, a McAfee EMEA behatolĂĄs-megelőzĂŠsi termĂŠkvonalĂĄnak igazgatĂłja. „A szervezetek azĂŠrt sebezhetők az IT tĂĄmadĂĄsokkal szemben, mert a biztonsĂĄgi javĂ­tĂłcsomagokat tĂşl gyakran hozzĂĄk forgalomba a biztonsĂĄgos tesztelĂŠshez ĂŠs a szervezet egĂŠszĂŠben időben tĂśrtĂŠnő telepĂ­tĂŠsĂŠhez. Az egyetlen megoldĂĄs a kockĂĄzat mĂŠrsĂŠklĂŠsĂŠre a rangsorolt patch-kezelĂŠs ĂŠs a proaktĂ­v behatolĂĄs-megelőző megoldĂĄsok egyĂźttes hasznĂĄlata.”