L'applicazione di patch come servizio offre vantaggi, sfide

L'applicazione di patch è un metodo fondamentale per isolare i rischi e garantire che i flussi di lavoro non vengano interrotti a causa del fatto che il software non ha più versioni supportate.

I rischio per la sicurezza derivante da vulnerabilità senza patch è sostanziale: le indagini sulla violazione dei dati del 2022 di Verizon rapporto ha rilevato che circa il 70% degli attacchi informatici riusciti ha sfruttato vulnerabilità note con le patch disponibili.

Troppo spesso, tuttavia, i team IT devono scegliere su quali elementi urgenti attirare la loro attenzione, il che crea uno scenario in cui le attività urgenti ostacolano le attività importanti. Esternalizzando la gestione delle patch, nota anche come patching-as-a-service, le organizzazioni possono trasferire a terzi l'onere di garantire che il processo di patch venga completato in modo coerente.

Il controllo, la trasparenza devono essere mantenuti

L'esternalizzazione delle patch può far risparmiare tempo e denaro a un'organizzazione. Può anche portare a una maggiore sicurezza. Il modello di outsourcing fornisce ai responsabili della sicurezza un contratto di servizio (SLA) verificabile per garantire che l'investimento protegga l'organizzazione.

"Ci sono alcune sfide che derivano dall'outsourcing delle patch", avverte Darryl MacLeod, vCISO presso Lares Consulting, una società di sicurezza delle informazioni. "Ad esempio, un'organizzazione potrebbe perdere un po' di controllo sulla gestione delle patch e il processo di gestione delle patch potrebbe non essere così trasparente come sarebbe se la gestione delle patch fosse eseguita internamente".

Aggiunge che il patching-as-a-service è probabilmente più efficace per le organizzazioni di piccole e medie dimensioni che non dispongono delle risorse per applicare le patch internamente, ma può anche essere vantaggioso per le organizzazioni con complesse esigenze di gestione delle patch.

La società di gestione e analisi dei dati Aunalytics ha recentemente aggiunto una piattaforma co-gestita di patching-as-a-service alla sua suite di soluzioni di sicurezza. Il vicepresidente dell'azienda, Steven Burdick, sottolinea che le sfide alla sicurezza per ogni organizzazione si evolvono ogni giorno.

"I cattivi attori bussano a qualsiasi porta che riescono a trovare speranzosi che tu non abbia patchato una workstation o un'applicazione chiave di terze parti come Acrobat Reader", dice. "Eppure, nonostante i tuoi sforzi per proteggere il tuo ambiente chiudendo i portelli, nuovi exploit non ancora scoperti continuano a manifestarsi".

Sostiene che l'esternalizzazione delle patch di sicurezza e delle piattaforme di protezione antivirus/malware consente alle organizzazioni di investire il tempo dei membri del proprio team nelle aree in cui l'azienda può ottenere il miglior valore.

"Assegnare un FTE o parte di un FTE a qualcuno per gestire le piattaforme di patching e sicurezza richiede investimenti aggiuntivi in ​​tempo, viaggi e formazione che fanno poco più che preparare il personale IT per il ruolo successivo in un'altra azienda", afferma.

Pagare una terza parte per assumersi la responsabilità

Mike Parkin, ingegnere tecnico senior presso Vulcan Cyber, un fornitore di SaaS per la risoluzione del rischio informatico aziendale, spiega che l'outsourcing delle patch a un fornitore di patching-as-a-service è un sottoinsieme delle operazioni IT in outsourcing, in quanto un'organizzazione sta spostando la responsabilità su una terza parte.

"Ci sono molte ragioni per cui le organizzazioni esternalizzano queste attività, anche se il risparmio sui costi e il non dover gestire un reparto IT interno sono due ragioni comuni", afferma.

Come MacLeod, sottolinea che ci sono anche delle sfide. Per prima cosa, l'organizzazione deve fare affidamento sull'efficienza e l'integrità del fornitore per affrontare problemi mission-critical senza la supervisione che deriva dalle risorse interne.

Parkin afferma che un programma di successo richiederà strumenti di gestione delle risorse accurati e solidi, in modo che il fornitore sappia cosa c'è nell'ambiente del cliente.

"Avranno bisogno di una funzione di gestione delle patch inclusa o compatibile", aggiunge. "Idealmente, avranno input da scanner di vulnerabilità e una piattaforma di gestione del rischio per aiutarli a dare la priorità alle patch più importanti".

I servizi di patching si basano sull'automazione

MacLeod prevede che man mano che la gestione delle patch diventa più complessa, i fornitori di patch come servizio offriranno probabilmente soluzioni più complete che includono software di gestione delle patch, repository di patch, strumenti di distribuzione delle patch e altri servizi.

Il software di gestione delle patch automatizza il processo di applicazione delle patch; un repository di patch memorizza e gestisce le patch; e gli strumenti di distribuzione delle patch vengono utilizzati per distribuire le patch ai sistemi.

"Probabilmente i fornitori di servizi continueranno ad espandere la loro base di clienti offrendo servizi di patching a più tipi di organizzazioni", aggiunge.

Sottolinea che il mercato delle patch come servizio è cresciuto negli ultimi anni poiché sempre più organizzazioni esternalizzano la gestione delle patch.

"Si prevede che questa crescita continuerà poiché l'applicazione delle patch diventa un'attività sempre più complessa e dispendiosa in termini di tempo", afferma MacLeod.

L'esternalizzazione compensa le scarse risorse umane

Burdick afferma che Aunalytics sta riscontrando molto interesse nel settore sanitario, nelle società di servizi professionali e governo, dove il talento IT è difficile da attrarre e trattenere.

Aggiunge che i produttori sono spesso i primi ad adottare questo tipo di soluzioni perché riconoscono che devono evolversi costantemente per competere.

Il pagamento di questi servizi in un modello "as-a-service" impedisce alle organizzazioni di dover pagare i costi di formazione e viaggio dei membri del team di sicurezza IT, afferma Burdick, nonché il costo per sostituire e riqualificare il personale quando le risorse interne dell'azienda partire.

“Le aziende oggi non hanno difficoltà ad acquistare tecnologia; sono le persone che utilizzano la tecnologia e mantenerla in funzione in modo efficiente che sono molto difficili da reperire in questa economia”, afferma Burdick.