Kiedy nadszedł czas, aby zainwestować w solidniejsze rozwiązanie do zarządzania lukami w zabezpieczeniach i poprawkami?

Zarządzanie poprawkami jest dla zespołów IT niezbędnym, ale coraz też droższym i coraz bardziej czasochłonnym zadaniem. Wiele firm wdrożyło zautomatyzowane narzędzia do wdrażania poprawek, aby usprawnić ten proces i spełnić wymagania dotyczące zgodności z przepisami. Ciągły dramatyczny wzrost liczby i dotkliwości luk w zabezpieczeniach rodzi jednak pytanie: kiedy nadszedł czas, aby zainwestować w solidniejsze rozwiązania, które usprawniłyby zarządzanie większym obciążeniem pracą, zapewnianie bezpieczeństwa systemów, utrzymywanie zgodności z przepisami oraz wdrażanie nowych technologii?

W ciągu ostatnich kilku lat wiele zespołów IT zastąpiło manualne procedury zarządzania poprawkami komercyjnymi narzędziami programowymi, które automatyzują wiele aspektów tego procesu. Wykorzystanie automatyzacji rośnie w odpowiedzi na rosnącą liczbę i dotkliwość publikowanych podatności i zagrożeń (CVE) oraz złożoność sieci biznesowych. Popularność automatyzacji wzrasta również w następstwie coraz częstszego wydawania poprawek przez dostawców oprogramowania oraz oczekiwania od zespołów IT szybkich reakcji na nieznane dotychczas zagrożenia (ang. zero-day exploits).

Większość narzędzi do automatyzacji koncentruje się na wdrażaniu poprawek, podczas gdy niektóre są również połączone z rozwiązaniami zapewniającymi ciągłe monitorowanie luk w zabezpieczeniach. Oba te podejścia są zgodne z zaleceniami firm Gartner, Forrester i SANS Institute, a także innych ekspertów branżowych. W rzeczywistości amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) wymaga od agencji federalnych automatyzacji zarówno zarządzania lukami w zabezpieczeniach, jak i wdrażania poprawek. Nawet bez tych wytycznych większość firm zdała sobie jednak sprawę, że ręczne zarządzanie poprawkami po prostu nie ma przyszłości.

Szacunki różnią się, ale zasadniczo panuje zgoda co do tego, że zautomatyzowane narzędzia do planowania, wdrażania i monitorowania poprawek mogą ograniczyć nakład pracy specjalistów IT o 30 do nawet 70 procent w porównaniu z metodami manualnymi. Automatyzacja może również znacznie zmniejszyć liczbę dni potrzebnych zespołom IT na załatanie luk w zabezpieczeniach po ich opublikowaniu, czyli średni czas do usunięcia (MTTR). Pomimo szerszego wykorzystania automatyzacji obciążenie pracą działów cyberbezpieczeństwa IT nadal jednak rośnie ze względu na rosnącą złożoność środowisk IT oraz wzrost liczby i różnorodności urządzeń i aplikacji.

Korzystając z szacunków firm Gartner, Ponemon Institute oraz innych źródeł branżowych, możemy podać przykład zwrotu z inwestycji (ROI) z wdrożenia rozwiązania Managed Software. Do podstawowej analizy wykorzystamy następujące ostrożnie oszacowane wskaźniki kosztów pracy IT i czasu poświęconego na działania związane z zarządzaniem lukami w zabezpieczeniach (identyfikacja, testowanie, wdrażanie i monitorowanie luk w zabezpieczeniach/poprawek) dla sieci liczącej od 500 do 1000 punktów końcowych:

Koszty pracy IT

• Krajowe badania prowadzone w Stanach Zjednoczonych pokazują, że wynagrodzenie administratora IT waha się od 60 000 USD do 90 000 USD rocznie, czyli wynosi przeciętnie około 75 000 USD rocznie lub 6250 USD miesięcznie.
• 3 administratorów IT lub 18 750 USD miesięcznie. 
• Nominalny 40-godzinny tydzień pracy lub 480 godzin całkowitego czasu pracy zespołu miesięcznie (tygodnie pracy w rzeczywistości są prawdopodobnie znacznie dłuższe).

Działania związane z zarządzaniem lukami w zabezpieczeniach
Do celów tej analizy założymy, że skanowanie luk w zabezpieczeniach i wdrażanie poprawek są zautomatyzowane, podczas gdy testowanie poprawek pozostaje procesem w większości manualnym.
W rezultacie:

• Zespół IT poświęca około 240 godzin, czyli mniej więcej połowę całkowitego miesięcznego czasu pracy, na zadania związane z poprawkami.
• Testowanie i walidacja poprawek odpowiadają zwykle za 50% do 60% takiego całkowitego czasu, czyli około 100 do 120 godzin/miesiąc.