As causas subjacentes da paralisia de patch são complexas e variam de uma organização para outra.

Dito isso, os seguintes fatores geralmente contribuem para o problema.

A maioria das empresas hoje está usando dezenas – e às vezes centenas – de aplicativos, widgets e outros softwares.

De acordo com um estudo da Forrester para a AirTable (uma plataforma de criação de aplicativos), a grande organização média hoje está executando 367 aplicativos e sistemas.

Muitos desses softwares terão patches e atualizações contínuas – geralmente mensalmente. Embora alguns softwares possam ser corrigidos automaticamente pelo editor pela Internet, muitos ainda exigem que alguém os instale manualmente.

Se a instalação de patches nos sistemas da empresa fosse simplesmente um caso de baixar o patch e clicar em ‘executar’, a correção seria relativamente fácil. Infelizmente, a aplicação de patches geralmente é um processo demorado.

De acordo com um estudo da Edgescan, uma empresa de testes de penetração, a organização leva em média 60 dias para passar pelo processo de instalação de um patch.

Uma das principais razões pelas quais a aplicação de patches leva tanto tempo é que as organizações terão modificado o software. Isso significa que instalar um patch sem primeiro ver como ele pode interagir com suas modificações pode “quebrar” seu ambiente.

As empresas, portanto, precisam gastar tempo testando o patch em uma ‘sandbox’ antes de executá-lo em todo o sistema.

A instalação de patches geralmente requer que os dispositivos de uma organização sejam reinicializados. Isso significa que a aplicação de patches interrompe o trabalho da empresa.

Como resultado, muitas empresas optam por agendar patches nos fins de semana ou à noite, quando menos funcionários precisam de acesso à sua tecnologia. Novamente, isso retarda o processo.

Outro motivo pelo qual a aplicação de patches leva tempo é que as equipes de TI geralmente precisam de aprovações para instalar patches. Particularmente em organizações maiores, várias pessoas seniores podem precisar dar aprovação, e isso também causa atrasos.

Em um estudo da organização de pesquisa Ponemon Institute, quase 80% das empresas disseram que simplesmente não têm recursos suficientes para acompanhar o volume de patches que precisam instalar.

A aplicação de patches exige que a equipe de TI teste cada atualização, limpe-as, instale-as nos sistemas e verifique se há problemas.

E embora o patch seja um trabalho qualificado, também é um trabalho repetitivo, manual e ingrato que muitas vezes exige que a equipe trabalhe à noite ou nos fins de semana.

Nem sempre é fácil fazer com que os funcionários concordem em instalar grandes atualizações em curto prazo.

A natureza do problema dos recursos varia de acordo com o tamanho da empresa.

Em pequenas empresas, pode haver apenas uma ou duas equipes de tecnologia sobrecarregadas com todos os patches que devem instalar.

Em empresas maiores, existem dezenas de aplicativos para atualizar toda semana, problemas de comunicação e aprovações para lidar.

Talvez um dos maiores contribuintes para a paralisia de patches seja o fato de que a ordem das atualizações está mudando continuamente. A maioria das organizações tem um cronograma para lançar patches.

No entanto, se uma vulnerabilidade de alto risco for descoberta em um sistema operacional importante, esse patch deverá ser colocado no topo da lista de tarefas da equipe de TI.

Isso interrompe outras atualizações e causa interrupções gerais no cronograma de patches.

Os adesivos são frequentemente categorizados como de baixo, médio ou alto risco.

Um patch de alto risco pode ser uma vulnerabilidade séria em um sistema operacional como o Windows 10, enquanto um patch de ‘baixo risco’ pode ser um problema de configuração com um aplicativo de gerenciamento de projetos usado apenas por alguns funcionários.

O problema, no entanto, é que todas as vulnerabilidades podem se tornar alvos de cibercriminosos.

Só porque um software é categorizado como de “baixo risco”, isso não significa que os criminosos cibernéticos não possam usar suas vulnerabilidades conhecidas como um ponto de entrada para o seu ambiente.

Pesar em quais adesivos focar – e quanto tempo dedicar a cada um – pode causar dores de cabeça e indecisão.

Existem muitas outras razões pelas quais as organizações não conseguem corrigir seu software com rapidez suficiente. Os desafios comuns incluem:

• Silos dentro dos departamentos de TI significam que as informações sobre patches ou quem os está instalando não são compartilhadas, levando a mal-entendidos.
• Falta de conscientização sobre todos os endpoints (especialmente onde as políticas de ‘traga seu próprio dispositivo’ são permitidas) e ‘shadow IT’.
• Processos ineficazes para rastrear lançamentos de patches pelos editores.
• Dependência de software legado que não recebe mais atualizações dos editores.
• Certos sistemas e dispositivos (como equipamentos médicos) não podem ser corrigidos por outros motivos.

Então, como você pode saber se sua organização é afetada pela paralisia de patches? Aqui estão alguns dos sinais reveladores que vemos repetidamente:

Facilmente, o sinal mais claro de paralisia de correção é que uma organização leva muito tempo para instalar atualizações. Em um mundo ideal, os patches seriam instalados no dia em que são lançados – ou dentro de algumas semanas, no máximo.

Existe uma única pessoa nomeada que é diretamente responsável por ficar por dentro de todos os patches em sua organização? É surpreendentemente comum que as empresas não tenham um único ponto de contato para gerenciamento de patches.

Este é particularmente o caso em organizações que usam uma combinação de software local e em nuvem – pessoas diferentes geralmente configuram sistemas diferentes. E isso às vezes pode significar que as manchas caem pelas rachaduras.

Um problema semelhante é que muitas organizações não sabem o que está sendo corrigido e por quem. Este é especialmente o caso quando diferentes partes do departamento de TI trabalham em silos, portanto, não têm certeza de quem é responsável por corrigir o quê.

Muitas vezes, as equipes de TI são impedidas de aplicar patches porque o restante da organização é resistente a atualizações e não pode tolerar o tempo de inatividade. A equipe de TI deve aguardar os momentos oportunos em que outros funcionários estão ausentes (fins de semana, feriados, noites) antes de instalar grandes atualizações.

1. O que conta como um patch de “alto risco” para sua organização?
2. Qual software é tão vital para o seu negócio que novos patches devem ser instalados instantaneamente?
3. Que tipos de atualizações podem ser adiadas enquanto um trabalho mais urgente é realizado – e por quê?

A tecnologia oferece às equipes de TI um console centralizado com visibilidade completa de todo o inventário de software.

Todos os aplicativos que sua organização usa são exibidos no painel. Em seguida, alertamos você no momento em que novas vulnerabilidades são descobertas e patches lançados.

Suas equipes de TI podem instalar essas correções diretamente do painel. E, graças aos recursos de automação do Heimdal, você pode testar, higienizar e implantar patches em seus sistemas, sem horas de trabalho manual tedioso.

Saiba mais sobre nossas soluções automatizadas de gerenciamento de patches e supere a paralisia de patches de uma vez por todas.