Aktualizacje systemów i programów w firmie: jak zarządzać nimi bez chaosu

Z aktualizacjami jest jak z przeglądami samochodu. Wszyscy wiedzą, że trzeba, ale łatwo je odkładać, bo „teraz nie ma czasu”. Tymczasem większość skutecznych ataków na firmy wykorzystuje luki, na które poprawki były dostępne od dawna. Z drugiej strony nieprzemyślana aktualizacja potrafi zatrzymać program księgowy w dniu zamknięcia miesiąca. Zarządzanie aktualizacjami systemów i oprogramowania w firmie polega na unikaniu obu skrajności.

Kłopot sprawia brak zasad, nie same aktualizacje

W wielu firmach aktualizacje odbywają się przypadkiem. Część komputerów aktualizuje się sama, część ma to wyłączone, bo kiedyś coś przestało działać. Serwer czeka na „wolny weekend”, router nie był aktualizowany od zakupu, a o drukarkach nikt nie myśli. Nie wiesz więc, które urządzenia są bezpieczne, a każda awaria budzi podejrzenie, że winna jest aktualizacja.

Wyłączenie aktualizacji niczego nie rozwiązuje, podobnie jak instalowanie wszystkiego natychmiast. Potrzebne są proste reguły, które każdy w IT zna i stosuje.

Co obejmuje zarządzanie aktualizacjami w firmie

Zacznij od pełnej listy tego, co wymaga aktualizacji. Zwykle wychodzi więcej, niż się wydaje:

• systemy operacyjne komputerów i serwerów,
• oprogramowanie biurowe: Microsoft 365, przeglądarki, czytniki PDF,
• programy biznesowe: ERP, kadry i płace, programy branżowe, oprogramowanie bankowe,
• urządzenia sieciowe: routery, zapory, przełączniki, punkty dostępowe Wi-Fi,
• bramy dostępu zdalnego, czyli VPN i zdalny pulpit, szczególnie narażone na ataki,
• urządzenia peryferyjne: drukarki, urządzenia wielofunkcyjne, kamery, rejestratory, serwery NAS,
• telefony i tablety służbowe,
• oprogramowanie układowe komputerów i serwerów, czyli BIOS/UEFI.

Bez aktualnej ewidencji sprzętu i oprogramowania nie da się kontrolować aktualizacji. Jeśli jej nie masz, zacznij od niej.

Siedem zasad, które porządkują aktualizacje

1. Podział na grupy i fazy

Nie aktualizuj wszystkich komputerów jednocześnie. Wydziel grupę pilotażową: kilka komputerów z różnych działów, najlepiej należących do osób, które zgłoszą problem. Aktualizacje trafiają najpierw do nich, a po kilku dniach bez zgłoszeń do reszty firmy. W środowisku Microsoft służą do tego m.in. pierścienie wdrożeniowe w Windows Update dla firm lub Intune.

2. Priorytety według ryzyka

Nie każda poprawka jest tak samo pilna. Poprawki krytyczne dla systemów dostępnych z internetu, takich jak bramy VPN, zapory czy serwery pocztowe, instaluj jak najszybciej, zwłaszcza gdy producent lub CERT Polska informuje o aktywnym wykorzystywaniu luki. Aktualizacje funkcji mogą poczekać na przetestowanie.

3. Stałe okno serwisowe

Ustal, kiedy aktualizowane są serwery i systemy krytyczne, np. w określony wieczór w miesiącu. Pracownicy wiedzą wtedy, kiedy spodziewać się przerwy, a IT ma czas sprawdzić, czy po restarcie wszystko działa.

4. Kalendarz biznesowy ma pierwszeństwo

Nie aktualizuj programu kadrowo-płacowego w dniu naliczania wypłat ani systemu księgowego w czasie zamknięcia miesiąca lub roku. Harmonogram uzgodnij z działem finansowym i kadrami.

5. Kopia przed aktualizacją

Przed aktualizacją serwera lub bazy danych systemu biznesowego wykonaj kopię i upewnij się, że da się ją odtworzyć. To Twój plan B.

6. Aktualizacje programów biznesowych z dostawcą

Systemy ERP i kadrowo-płacowe często wymagają aktualizacji z powodu zmian przepisów, np. nowych wzorów deklaracji czy struktur e-faktur. Takie aktualizacje mają terminy, których nie da się przesuwać w nieskończoność. Jak bezpiecznie przeprowadzić ten proces, opisujemy na przykładzie aktualizacji enova365 do nowej wersji. Wsparcie przy systemie znajdziesz też na stronie wdrożeń i opieki nad enova365.

7. Monitorowanie i raport

Raz w miesiącu sprawdź, które urządzenia nie mają najnowszych poprawek i dlaczego. Typowe luki w kontroli to komputer, który od tygodni nie łączył się z siecią, laptop handlowca w ciągłej podróży albo serwer ze wstrzymanymi aktualizacjami.

Miesięczny cykl aktualizacji w zakładzie produkcyjnym

W firmie produkcyjnej zatrudniającej kilkadziesiąt osób taki cykl może wyglądać następująco:

1. Po publikacji comiesięcznych poprawek Microsoftu aktualizacje trafiają do grupy pilotażowej.
2. Po kilku dniach bez zgłoszeń instaluje się je na pozostałych komputerach biurowych.
3. W ustalony wieczór aktualizowane są serwery, po wcześniejszej kopii i z testem uruchomienia systemów.
4. Komputery na hali produkcyjnej aktualizuje się w czasie planowanego postoju linii.
5. Raz na kwartał IT przegląda oprogramowanie urządzeń sieciowych i drukarek.

Aktualizacje przestają wtedy zaskakiwać, a zgłoszeń po nich jest mniej, bo problemy wychodzą już w grupie pilotażowej.

Kto odpowiada za aktualizacje

Chaos w aktualizacjach często bierze się stąd, że nikt nie czuje się za nie odpowiedzialny. Informatyk zakłada, że program księgowy aktualizuje dostawca, dostawca czeka na zlecenie, a księgowa klika „przypomnij później”. Dlatego podział ról trzeba zapisać wprost:

• IT wewnętrzne lub zewnętrzny opiekun zajmuje się systemami operacyjnymi, przeglądarkami, urządzeniami sieciowymi i serwerami oraz monitoruje stan poprawek.
• Dostawca systemu biznesowego odpowiada za aktualizacje ERP, kadr i płac, razem z informacją o zmianach i wymaganiach.
• Właściciel procesu w firmie, np. główna księgowa, akceptuje termin aktualizacji systemu, z którego korzysta jej dział, i sprawdza jego działanie po zmianie.
• Użytkownicy nie odkładają restartów w nieskończoność i zgłaszają problemy po aktualizacji.

Podział zapisz w polityce bezpieczeństwa IT lub w umowie z firmą zewnętrzną. Wtedy nie zależy od dobrej woli i pamięci poszczególnych osób.

Błędy, które zostawiają firmę bez poprawek

• Automatyczne aktualizacje wyłączone, „bo kiedyś coś się zepsuło”. Jednorazowy problem zamienia się w stałe ryzyko.
• Zapomniane urządzenia sieciowe. Routery i bramy VPN to częsty punkt wejścia atakujących.
• Brak restartu. Część poprawek zaczyna działać dopiero po ponownym uruchomieniu, a komputer usypiany tygodniami pozostaje niezabezpieczony.
• Systemy bez wsparcia. Gdy producent nie wydaje już poprawek, nie ma czego instalować. Tak stało się z Windows 10, o czym piszemy w artykule o końcu wsparcia Windows 10.
• Aktualizacje bez dokumentacji. Gdy coś przestaje działać, nikt nie wie, co i kiedy zostało zmienione.

Regularne aktualizacje to jedno z najtańszych zabezpieczeń przed ransomware. O pozostałych warstwach ochrony przeczytasz w tekście o tym, jak chronić małą i średnią firmę przed ransomware.

Plan aktualizacji dla Twojej firmy, z grupą pilotażową i oknami serwisowymi, możemy przygotować w ramach stałej opieki. Porozmawiajmy o obsłudze IT Twojej firmy.