Cybercriminelen maken maar al te graag gebruik van kwetsbaarheden in software die nog niet gepatcht zijn. Toch installeren organisaties in 2021 nog steeds niet de broodnodige updates. Een rapport van Ivanti voorziet ons van antwoorden op de vraag waarom ze dat niet doen.
Dat cybercriminelen vooral zoeken naar kwetsbaarheden in software die nog niet gepatcht zijn, is niets nieuws onder de zon. Toch blijven we ons de vraag stellen waarom organisaties nog steeds niet de broodnodige updates installeren. Een rapport van Ivanti probeert ons van antwoorden te voorzien.
Patchen in tijden van thuiswerk
Het softwarebedrijf bevroeg IT- en securityprofessionals uit verschillende organisaties. Maar liefst 71 procent van de respondenten ziet het patchen van kwetsbaarheden als een complex, moeizaam en tijdrovend proces. Meer dan de helft van de professionals (57%) geeft aan dat werken op afstand de complexiteit en schaal van patchmanagement vergroot. Werknemers vragen namelijk toegang tot bedrijfsnetwerken, data en diensten vanop afstand, mét verschillende toestellen.
Thuiswerk geeft IT-professionals echter niet alleen kopzorgen over het patchen van kwetsbaarheden. 62 procent van de respondenten geeft toe dat het uitvoeren van noodzakelijke updates vaak op de achtergrond verdwijnt ten opzichte van andere taken. Daarnaast verstoort het patchproces de workflow van gebruikers volgens 60 procent van de participanten. Bovendien vraagt het management in 61 procent van de gevallen om onderhoudstaken eens per kwartaal naar achter te schuiven.
Patchmanagement niet op punt
Organisaties hebben het de dag van vandaag wel moeilijk met het versnellen van patch-acties, gezien cybercriminelen steeds grovere middelen inzetten. Zeker degenen die remote code execution (RCE) gebruiken.
Meer dan de helft van de respondenten geeft aan dat het organiseren en prioriteren van kritieke kwetsbaarheden de meeste tijd vraagt. Dat wordt gevolgd door het bedenken van oplossingen voor gefaalde patchpogingen (19%), het testen van patches (15%) en het afstemmen van de samenwerking met andere departementen (10%).
Iets minder dan de helft van de IT-professionals geeft aan dat het patchmanagement van hun organisaties risico’s niet voldoende verkleint.
WannaCry 2017
De WannaCry ransomare-aanval in 2017 had volgens het rapport eveneens vermeden kunnen worden dankzij het op tijd patchen van kwetsbaarheden. De noodzakelijke update kon namelijk enkele maanden eerder al uitgevoerd worden, maar bedrijven liepen helaas achter op de feiten.
Twee jaar later werd dezelfde kwetsbaarheid nog steeds uitgebuit en zelfs dit jaar steeg het aantal organisaties geïnfecteerd met WannaCry-ransomware met 53 procent tussen januari en maart.
Volgens Srinivas Mukkamala, senior VP van securityproducten bij Ivanti, moeten IT- en securityteams net nu, in tijden van thuiswerk en versnippering, leren omgaan met het groeiende aantal ransomware-aanvallen. “De meeste organisaties hebben de draagkracht echter niet om actieve dreigingen en de kwetsbaarheden die ze uitbuiten, te monitoren.”
lees ook