Vil patchen virke? Mange har erfart at den ikke uten videre vil det.
Derfor slår en del erfarne IT-folk av funksjonen for automatiske oppdateringer på sine egne PC-er og nettdingser. Enten det gjelder operativsystem eller applikasjoner ønsker de å sjekke diverse diskusjonsfora for erfaringer før de selv trykker på knappen.
Problemet er at mange patchinger stenger for nylig oppdagete sikkerhetshull som hackere er i full sving for å utnytte. Derfor er det lite aktuelt å utsette patchingen for lenge.
– Hvis vi ikke gjør patching og oppgraderinger, kan løsningene vi hoster kunne bli stående åpen og sårbar for cyberangrep. Da står vi som leverandør i fare for ikke å leve opp til våre forpliktelser og grunnleggende sikkerhetsprinsipper, sier Bjørnar Simonsen, som er Security Compliance Manager i Basefarm.
– Det er en situasjon vi ikke skal havne i.
Både av selskapets ISMS-system (styringssystem for sikkerhet) som er ISO 27001-sertifisert og for eksempel PCI-DSS v3.2.1 fremgår det klart og tydelig at sikkerhetspatcher fra applikasjonsleverandører skal installeres. Samme typer formuleringer fremgår av en rekke andre sertifiseringer.
Dette setter hostingleverandører i et dilemma. Spørsmålet blir ikke om patchingen skal skje, men hvordan den best kan gjennomføres.
Vanlige PC-er vil i utgangspunktet ha et oppsett som er tydelig definert av hardwareleverandør og applikasjonsleverandør, noe som reduserer faren for at patching kan slå feil. Like fullt skjer dette.
Utfordringen er enda større i store, profesjonelle infrastrukturer. Konfigurasjonen blir gjort i datasentre og -rom, og kan variere mye fra installasjon til installasjon.
Maskinlæring og kunstig intelligens/AI kan bidra til å øke driftsstabiliteten.
– Dette er viktig å legge vekt på ved valg av leverandør. Vi har selv samarbeid med leverandører av helt sentral infrastruktur hvor AI henter informasjon om firmwareinstallasjoner ved ulike installasjoner, registrerer straks om noe går feil og blokkerer patching av tilsvarende konfigurerte miljøer, forteller Simonsen.
– Gjennom valg av og nære samarbeid med leverandører kan man med andre ord redusere faren for å få satt ut systemene sine av en ny patch. Det blir en automatisert læring av andres feil og hvor det holder at én virksomhet på verdensbasis bommer.
Basefarm har definert sin infrastruktur på en måte som gjør det mulig å duplisere selv de mest kompliserte oppsett på under én time. Derfor har selskapet mulighet til å teste en patch på et duplikat av systemet i stedet for å kjøre oppdateringen på fullt operative systemer.
Når dette likevel blir et for stort prosjekt å gjennomføre, er en forholdsregel å planlegge tidspunkt for patchingen nøye.
– Vi har et sett av ulike, strenge kvalitetsprosesser for dette og forsøker – som så mange andre – å kjøre oppgraderinger når aktivitetsnivået er lavt. Det kan være om natten og fortrinnsvis ikke midt i situasjoner når serverne spinner for fullt, for eksempel under populære handelsdager som «Black Friday», sier han.
Skulle noe likevel gå galt, gjelder den gode gamle regelen om å ha gode backuper i et driftsmiljø hvor man faktisk har testet at backupene lar seg gjenopprette i praksis
Hva er Self-Service BI?