Installeren patch kan 580.000 euro kosten
Voor de meeste gebruikers is het installeren van een patch iets waar ze meestal niet over nadenken. Vaak gebeurt het ook nog eens automatisch, waardoor er nauwelijks omkijken is. Het installeren van een patch is voor een bedrijf een geheel ander verhaal. IT services provider Computacenter schat dat het testen en implementeren van één patch bij grote bedrijven acht weken in beslag kan nemen en zo'n 580.000 euro kost. Het is dan ook niet zo verwonderlijk dat veel bedrijven hun systemen niet updaten, simpelweg omdat ze hiervoor niet de middelen hebben. In 2003 publiceerde het Amerikaanse CERT 4200 advisories, alleen al het bepalen van welke patches er geinstalleerd moeten worden zou 700 manuren kosten. Patchen is echter hard nodig en doordat de tijd tussen het verschijnen van een lek en een exploit steeds korter wordt, hebben bedrijven eigenlijk geen keuze. Er is echter goed nieuws, want er verschijnen steeds meer processen en tools die het patchen makkelijker maken, zo gaat dit artikel over automatisch patch management verder.
Maar moet je eens nagaan wat het *niet* installeren van een
patch (in bepaalde gevallen, als je je zaken neit op orde
hebt) kan kosten!
als je elke losse patch test, nog eens test en uitrolt. zet dat af tegen het
geschatte bedrag dat het eventueel, precies wat je zegt, KAN kosten als je
het niet doet. en of je je zaakjes op orde hebt doet uiteindelijk maar weinig
goeds in de testfases, hooguit bij de uitrol en extra bescherming.
de juiste patches te installeren, maar het is niet reeel te
beweren dat het iedere keer zoveel geld en tijd kost. Testen
blijft een grote bottleneck, maar de correctheid neemt men
vaak voor lief. Het is vaak makkelijker ervoor te kiezen
direct terug te draaien naar de voorgaande situatie als er
iets mis blijkt. Uitzoeken welke patches nodig zijn kost
maar een paar keer veel tijd. Na verloop van tijd wordt men
wel zo slim om goed bij te houden welke systemen welke
software heeft of het uitzoeken en patchen te automatiseren.
Patchen is en blijft noodzakelijk maar die noodzaak hangt
nog altijd sterk af van het gevaar en overlast dat de
ongepatchde situatie met zich mee brengt.
patchlink gebruiken hebben wij de problemen opgelost.
stabiliteitsproblemen veroorzaakt? Natuurlijk kan je een roll back doen,
maar ook dat kost tijd. En die tijd heb je misschien niet wanneer systemen
kritisch zijn en het niet beschikbaar zijn ervan veel €€ kost.
netwerken is zoveel malen groter, dat soms de efficientie
van het gebruik te niet wordt gedaan.
Behaal je winst door de implementatie van een systeem, zodat
processen verkort worden, dan is het onderhoud ervan zoveel
malen groter geworden dat die winst miniem te noemen is.
Straks komt men er achter dat economisch gezien het
verstandiger was geweest bij pen en papier te blijven en
niet alles te automatiseren.
- Unomi -
De complexiteit van het onderhouden van systemen en
netwerken is zoveel malen groter, dat soms de efficientie
van het gebruik te niet wordt gedaan.
Behaal je winst door de implementatie van een systeem, zodat
processen verkort worden, dan is het onderhoud ervan zoveel
malen groter geworden dat die winst miniem te noemen is.
Straks komt men er achter dat economisch gezien het
verstandiger was geweest bij pen en papier te blijven en
niet alles te automatiseren.
- Unomi -
gecomputeriseerd. Wat dus inhoudt dat hetzelfde resultaat
wordt bereikt met apparaten die 10x zo duur zijn maar met
minder mensen. Maar met extra mensen om die moeilijke
apparaten te onderhouden....
niet zoveel geld, hooguit 10 minuten (als alles goed uitgetest is) irritatie
van de gebruiker en dezelfde 10 minuten van de systeembeheerder
waarvan je het salaris toch al betaald.
Al die foute boekhouders berekeningen....
Als je een bedrijf hiervoor inhuurt is het een ander verhaal.
Patches blijven vrees ik nodig, echter een hoop geouwehoer kan ook
worden afgevangen door de eindgebruiker training te geven in het omgaan
van e.a. hieronder valt dus ook rare emails en verdachte browser
activiteiten en foute sites.
Mr. Wizard.
Snap het niet zo, als je bedrijf een vaste systeembeheerder
heeft, kost dit
niet zoveel geld, hooguit 10 minuten (als alles goed
uitgetest is) irritatie
van de gebruiker en dezelfde 10 minuten van de systeembeheerder
waarvan je het salaris toch al betaald.
Al die foute boekhouders berekeningen....
Mr. Wizard.
Je snapt het inderdaad niet zo ....
dreigingen (zowel van buiten (bijv. internet) als van binnen ("handige"
medewerkers) die de beschikbaarheid integriteit en vertrouwelijkheid van
informatie kunnen aantasten. Probleem is dat het niet één twee drie
inzichtelijk te maken is in een business case waarin je stelt dat je maar
60% van de patches hoeft te plaatsen. Bij ons is de regel simpel en
doeltreffend: als er een patch is wordt ie geeplaatst. Indien hierna een
informatiesysteem niet meer werkt, dan ligt dat aan een programmeerfout
(lees creatieve oplossing) van de programmeur en niet aan M$. Tot op
heden hebben wij zo goed als geen problemen gehad na het plaatsen van
een patch. Het betreft een omgeving met 2000 werkplekken en een 60-tal
servers varierend van Novell - Unix varianten - Microsoft (kortom you name
we've got it)
Snap het niet zo, als je bedrijf een vaste systeembeheerder
heeft, kost dit
niet zoveel geld, hooguit 10 minuten (als alles goed
uitgetest is) irritatie
van de gebruiker en dezelfde 10 minuten van de systeembeheerder
waarvan je het salaris toch al betaald.
Al die foute boekhouders berekeningen....
Mr. Wizard.
Je snapt het inderdaad niet zo ....
Leg mij maar uit dat als je een systeembeheerder reeds
betaald hiervoor alsnog het bedrijf 580.000 euro kwijt is.
Volgens mij is het simpelweg een gedeelte van de jaarsalaris
van de systeembeheerder en een gedeelte jaarsalaris van de
gebruiker.
Misschien erg simpel gedacht...
Het probleem.... (kortom you name
we've got it)
het wel leuk dat je weet of stelt dat het aan een handige programmeur ligt
(het is niet mijn maar zijn schuld, doet het altijd goed in het management
maar je hebt er geen drol aan). Je productie ligt op dat moment toc
werkelijk stil.. Hoe ga je hier mee om dan?
Het probleem is dat je in een omgeving die continu
blootgesteld wordt aan
dreigingen (zowel van buiten (bijv. internet) als van binnen
("handige"
medewerkers) die de beschikbaarheid integriteit en
vertrouwelijkheid van
informatie kunnen aantasten. Probleem is dat het niet één
twee drie
inzichtelijk te maken is in een business case waarin je
stelt dat je maar
60% van de patches hoeft te plaatsen. Bij ons is de regel
simpel en
doeltreffend: als er een patch is wordt ie geeplaatst.
Indien hierna een
informatiesysteem niet meer werkt, dan ligt dat aan een
programmeerfout
(lees creatieve oplossing) van de programmeur en niet aan
M$. Tot op
heden hebben wij zo goed als geen problemen gehad na het
plaatsen van
een patch. Het betreft een omgeving met 2000 werkplekken en
een 60-tal
servers varierend van Novell - Unix varianten - Microsoft
(kortom you name
we've got it)
Zeg omhooggevallen boekenkast, ga je nu nog wat zinvols
bijdragen of hoe zit dat? Wat wil nou eigenlijk zeggen met
je hoogdravende gebabbel?
Trouwens,
doeltreffend: als er een patch is wordt ie geeplaatst.
Indien hierna een
informatiesysteem niet meer werkt, dan ligt dat aan een
programmeerfout
(lees creatieve oplossing) van de programmeur en niet aan M$.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
