I produttori di browser hanno rilasciato un'altra serie di patch di sicurezza questa settimana, e molti proprietari di siti ignorano ancora la loro politica di aggiornamento. Questo è importante perché gli aggressori ora prendono di mira le falle dei browser più velocemente di quanto la maggior parte dei team applichi le correzioni. Una politica di aggiornamento debole lascia i tuoi visitatori a rischio anche quando il tuo sito web rimane sicuro. Questo articolo spiega cosa è cambiato nell'ultimo ciclo di patch e come puoi migliorare la tua politica prima dell'arrivo del prossimo.
Perché la tua policy di aggiornamento necessita attenzione ora
Google e Mozilla hanno pubblicato patch questo mese per vulnerabilità che gli aggressori avevano già utilizzato in attacchi reali. Di conseguenza, molte aziende ora affrontano un intervallo più breve tra la divulgazione e l'attacco. Gli aggressori possono copiare una patch e trovare la falla nel giro di pochi giorni. Pertanto, una politica di aggiornamento lenta crea un vero rischio per la sicurezza.
Inoltre, i fornitori di browser ora pubblicano patch con un calendario più veloce e meno prevedibile. Chrome, Firefox ed Edge hanno rilasciato correzioni di emergenza al di fuori del loro normale programma questo mese. Di conseguenza, una politica di aggiornamento basata su controlli mensili non corrisponde più a questo modello. Invece, i team hanno bisogno di una politica che risponda immediatamente agli avvisi, non una che attenda una data fissa.
Cosa è cambiato nel ciclo di patch dei browser
I fornitori di browser erano soliti rilasciare correzioni di sicurezza in aggiornamenti pianificati e prevedibili. Tuttavia, l'ultimo ciclo mostra uno spostamento verso patch veloci e non pianificate per vulnerabilità sotto attacco attivo. Google ha confermato che diverse patch hanno risolto falle che gli aggressori avevano già usato. Questo spostamento significa che la tua politica di aggiornamento non può più dipendere da una revisione mensile fissa.
Inoltre, la maggior parte dei browser ora si aggiorna automaticamente per gli utenti normali, ma molte reti aziendali disabilitano questa funzionalità. Alcuni team IT ritardano gli aggiornamenti per testare prima la compatibilità con il software interno. Nel frattempo, quel ritardo crea una finestra che gli aggressori possono utilizzare. Quindi, una politica di aggiornamento efficace necessita di un processo di test più veloce, non più lento.
Costruire una politica di aggiornamento che funziona davvero
Una politica di aggiornamento pratica inizia con una chiara responsabilità. Qualcuno nel tuo team, o il tuo fornitore di hosting, dovrebbe assumersi la responsabilità di controllare e applicare gli aggiornamenti del browser. Altrimenti, i team spesso ritardano gli aggiornamenti per settimane. Pertanto, assegna questo compito chiaramente e rivedi il processo ogni trimestre.
Successivamente, imposta un ritardo massimo per le patch di sicurezza critiche, idealmente entro 48 ore dal rilascio. Inoltre, tieni un semplice registro di cosa hai aggiornato e quando, poiché questo registro aiuta durante la revisione di un incidente. Le piccole imprese senza personale IT dedicato possono chiedere a un fornitore di hosting gestito di gestire questo livello. Di conseguenza, questa scelta elimina le congetture e mantiene coerente la tua politica di aggiornamento, anche durante i periodi intensi.
Rischi di ignorare la tua politica di aggiornamento
I browser obsoleti creano un facile punto di ingresso per gli aggressori che prendono di mira il tuo personale o i tuoi clienti. Un singolo portatile non aggiornato può esporre i dati dei clienti attraverso una sessione compromessa. Inoltre, molte piccole imprese presumono che la sicurezza del proprio sito web copra questo rischio, ma le vulnerabilità del browser esistono al di fuori di tale perimetro. Di fatto, molti team notano questa lacuna solo dopo che un incidente forza una revisione.
Inoltre, i fornitori di assicurazioni informatiche richiedono sempre più spesso informazioni sulle pratiche di aggiornamento durante le richieste di risarcimento. Senza una politica di aggiornamento documentata, un'azienda potrebbe avere difficoltà a dimostrare una ragionevole cura dopo un incidente. Quindi, trattare questa politica come una formalità crea un rischio finanziario reale. In breve, una politica documentata e applicata protegge sia i tuoi dati che la tua posizione legale.
Considerazioni finali sulla politica di aggiornamento
La sicurezza del browser cambia più velocemente di quanto si aspettino i team, e una politica di aggiornamento costruita per le minacce dell'anno scorso non ti proteggerà oggi. Rivedi la tua attuale politica di aggiornamento questa settimana, assegna una chiara responsabilità e abbrevia la tua finestra di patching ove possibile. Se gestisci una piccola impresa senza supporto IT dedicato, chiedi al tuo fornitore di hosting di gestire questo processo per te. STACKwebzine continuerà a tracciare questi cicli di patch, quindi torna a visitare prima dell'arrivo del prossimo.
