Yama yönetimi neden gereklidir?
Yazılım ve işletim sistemi güncellemeleri güvenlik açıklarını kapatabilir, hataları düzeltebilir ve desteklenen özellikleri iyileştirebilir. Güncellemenin ertelenmesi, bilinen bir açığın sistemde daha uzun süre kalmasına yol açabilir.
CISA, yazılım güncellemelerinin güvenlik zayıflıklarını gidermede önemli olduğunu vurgular. Kurumlarda bu süreç tek tek kullanıcıların hatırlamasına bırakılmamalı; sorumlular, hedef süreler ve istisnalar yazılı olmalıdır.
Önce donanım ve yazılım envanteri
Yönetilecek bilgisayarları, sunucuları, ağ cihazlarını, işletim sistemlerini, uygulamaları ve firmware sürümlerini kaydedin. Her varlık için sorumlu kişi, konum, iş önemi, destek durumu ve güncelleme yöntemini belirleyin.
Envanterde destek dışı kalan işletim sistemi ve uygulamalar ayrı işaretlenmelidir. Üretici desteği biten ürünlerde güncelleme bulunmayabilir; bu durumda desteklenen sürüme geçiş veya sistemin ağdan ayrılması gibi bir risk azaltma planı gerekir.
Güncellemeleri risk ve önceliğe göre sıralayın
İnternete açık sistemler, kimlik doğrulama altyapısı, uzaktan erişim servisleri ve kritik iş uygulamaları öncelikli incelenmelidir. Öncelik belirlerken açığın bilinirliği, aktif istismar bilgisi, sistemin erişilebilirliği ve kurum üzerindeki olası etki birlikte değerlendirilmelidir.
Tüm güncellemeler için tek bir süre hedefi her kurumda uygun olmayabilir. Güvenlik ekibi, sistem sahibi ve iş birimi; acil yamalar, rutin güncellemeler ve değişiklik pencereleri için ayrı kurallar belirlemelidir.
Test, dağıtım ve geri dönüş planı
Mümkünse güncellemeleri önce temsilî bir test grubuna dağıtın. Sürücü, güvenlik yazılımı, muhasebe uygulaması, yazıcı ve özel iş yazılımları gibi bağımlılıkları kontrol edin. Kritik sistemlerde yama öncesinde doğrulanmış yedek veya geri dönüş yöntemi bulunmalıdır.
Dağıtım sırasında başarısız kurulum, yeniden başlatma ihtiyacı ve cihazın çevrimdışı kalması gibi durumları izleyin. Güncelleme sonrası sistem sağlığını, servisleri, kullanıcı oturumunu ve iş uygulamalarını kontrol edin.
Raporlama ve istisna yönetimi
Hangi cihazların güncel olduğunu, hangilerinin başarısız kaldığını, hangi yamaların ertelendiğini ve erteleme gerekçesini raporlayın. İstisnalar için sorumlu kişi, bitiş tarihi ve telafi edici önlem tanımlayın.
Güncelleme politikası yeni cihaz, uygulama, güvenlik olayı veya üretici destek değişikliği olduğunda gözden geçirilmelidir. Yönetim raporlarında yalnızca kurulum oranını değil, kapsanmayan ve destek dışı varlıkları da gösterin.
Sıkça sorulan sorular
Güncellemeleri otomatik yapmak doğru mudur?
Otomatik güncelleme birçok cihazda riski azaltabilir. Kritik iş sistemlerinde test, bakım penceresi ve geri dönüş planı ihtiyacı ayrıca değerlendirilmelidir.
Önce hangi sistemler güncellenmelidir?
İnternete açık ve kritik sistemler, kimlik doğrulama bileşenleri ve aktif istismarı bildirilen açıklardan etkilenen ürünler risk temelli olarak önceliklendirilmelidir.
Üretici desteği biten yazılımlar ne yapılmalı?
Desteklenen sürüme geçiş planlanmalı; geçiş mümkün değilse sistemin maruziyeti azaltılmalı ve risk yazılı olarak takip edilmelidir.