O vulnerabilitate pentru care există deja o corecție poate rămâne exploatabilă dacă sistemul nu este actualizat. Catalogul CISA KEV identifică vulnerabilități exploatate în atacuri reale și ajută la prioritizare; nu este un inventar al tuturor riscurilor.
De ce actualizările întârzie
"Dacă funcționează, nu te atinge de el" rămâne o mentalitate răspândită, mai ales pentru sisteme critice unde o actualizare greșită ar putea opri activitatea. Alteori, lipsa unui proces centralizat înseamnă că nimeni nu e responsabil explicit de verificarea și aplicarea actualizărilor pe zeci de dispozitive și sisteme.
Ce înseamnă patch management făcut corect
Inventariază sistemele și versiunile, urmărește avertizările furnizorilor și atribuie un responsabil fiecărei remedieri. Stabilește prioritatea după exploatare activă, expunere și impact. Testează corecțiile proporțional cu riscul, pregătește rollback și verifică instalarea efectivă; în urgențe pot fi necesare și măsuri temporare de reducere a expunerii.
Sistemele cel mai des uitate
Routere și echipamente de rețea, firmware-ul dispozitivelor IoT, software-ul de pe servere mai vechi considerate "stabile" — toate rămân frecvent neactualizate ani de zile, exact pentru că nu apar în procesul standard de update al calculatoarelor de birou.
Cum se echilibrează stabilitatea cu securitatea
Nu toate actualizările au aceeași urgență. O vulnerabilitate exploatată pe un serviciu expus poate necesita intervenție imediată sau izolare, nu așteptarea ferestrei obișnuite. Termenele din KEV pentru agențiile federale americane nu devin automat obligații pentru orice companie românească.
O infrastructură monitorizată ajută la observarea expunerii și a eșecurilor de actualizare, dar procesul are nevoie de proprietari, termene și verificarea închiderii fiecărei probleme.