...
Sårbarhedsstyring: fra varsel og scanning til opdateret maskine
Alle miljøer har sårbarheder. Det, en gennemgang ser på, er om de bliver fundet, prioriteret og rettet inden for en frist, der kan efterprøves. Artiklerne her tager kæden et led ad gangen: hvordan opdateringsniveauet måles på maskinerne, hvad en scanning med login giver, om scanneren overhovedet når alle systemer, hvordan frister skrives, så de kan måles, og hvordan rækkefølgen vælges, når listen er længere end ugen.
Måling
- Opdateringsniveau: målt på maskinerne og ikke i værktøjet Tilstanden, maskinerne faktisk står i.
- Sårbarhedsscanning med login som del af gennemgangen Versioner og indstillinger læst direkte.
- Scanningsdækning: afstem scannerens mål mod systemlisten Det, der aldrig bliver scannet.
Frister og prioritering
- Rettefrister, der kan efterprøves: fra “rimelig periode” til dage Frister skrevet i dage fra en bestemt dato.
- Prioritering af sårbarheder: alvorlighed, sandsynlighed for udnyttelse og listen over udnyttede sårbarheder Tre offentlige signaler holdt op mod miljøet.
- Kantudstyr først: VPN, firewall og andre tjenester, der kan rammes fra internettet Udstyret, alle kan nå.
Varsler
- Varsler om sårbarheder: hvem modtager dem, og hvad sker der så? Spor fra varsel til ændring.
Sådan kommer I i gang
Træk en liste over alt det, der kan nås fra internettet: firewalls, VPN, webservere, mailgateways og fjernadgang. For hver enhed noteres version, supportstatus og dato for seneste opdatering. Det er den liste, der skal være kortest mulig tid bag producentens varsler, fordi en sårbarhed dér kan udnyttes uden forudgående adgang. Læg derefter scannerens målliste ved siden af systemlisten, og skriv de net og systemer op, der mangler.
Skriv så jeres rettefrister i dage, med et tydeligt udgangspunkt: datoen, producenten udgav rettelsen, eller datoen, I fik varslet. Forordning 2024/2690 bruger ord som “uden unødig forsinkelse” og “rimelig periode”, og ordene skal omsættes til tal i jeres egen politik, før nogen kan måle, om de er overholdt.
Til prioriteringen bruger mange tre offentlige kilder: CVSS for alvorlighed, EPSS for, hvor sandsynligt et angreb er, og KEV-kataloget fra CISA for de sårbarheder, der er set udnyttet. Ingen af dem kender jeres miljø, så de skal holdes op mod, hvor systemet står, og hvad det giver adgang til.
Hvad det kræver, og hvad det koster at lade være
Kontrollen kræver adgang til opdateringsværktøjet, scannerens resultater og en servicekonto til scanning med login. Måling på maskinerne kan driften gøre selv. Det tunge er at skrive fristerne og holde dem, fordi det kræver servicevinduer og aftaler med leverandører. Uden kontrollen bliver opdateringsværktøjets rapport det eneste bevis, og den ser kun det, værktøjet kender, mens kantudstyret, ingen har ansvar for, står uopdateret.
Det skal I lade være med
- At læse opdateringsniveauet i værktøjet alene · mål på maskinerne.
- At bruge scannerens score uden at se på miljøet · eksponering ændrer rækkefølgen.
- At skrive frister uden udgangspunkt · datoen skal stå.
- At lade varsler lande i en fælles postkasse uden ejer · nogen skal vurdere dem.
Det skal gennemgangen kunne vise
- ☐ Opdateringsniveau målt på maskinerne for en periode.
- ☐ Afstemning af scannerens mål mod systemlisten.
- ☐ Rettefrister i dage og målingen af, om de er overholdt.
- ☐ Spor fra relevante varsler til ændringer i systemerne.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Servere og platforme · Fund og opfølgning
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
Skal jeres opsætning gennemgås?
Skriv kort, hvilke dele af miljøet det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Gennemgangen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
