Patchmanagement voor het MKB: updates die je beschermen

Een groot deel van de geslaagde cyberaanvallen heeft een saaie oorzaak: ergens draaide software die niet was bijgewerkt. De fabrikant had de fout al maanden geleden opgelost met een update, maar die was nooit geïnstalleerd. Aanvallers scannen het internet continu op precies deze achterstanden. Patchmanagement, het gestructureerd bijwerken van software, dicht dit gat. Het is misschien niet het spannendste onderwerp in cybersecurity, maar wel een van de meest effectieve.

In dit artikel lees je waarom updates zo belangrijk zijn, hoe je een werkbaar patchbeleid opstelt, welke termijnen verstandig zijn en hoe je voorkomt dat een update zelf problemen veroorzaakt. Voor een organisatie met 15 tot 250 werkplekken is dit goed te organiseren, zeker met de juiste afspraken en hulpmiddelen. Het sluit aan op de bredere basis uit de MKB cybersecurity checklist en endpoint beveiliging.

Waarom updates zo belangrijk zijn

Software bevat fouten, en sommige van die fouten zijn beveiligingslekken. Zodra een fabrikant zo'n lek ontdekt, brengt hij een update uit. Maar op datzelfde moment weten aanvallers ook van het lek, en beginnen ze te scannen naar systemen die nog niet zijn bijgewerkt. Het venster tussen het uitkomen van een update en het misbruiken ervan is kort: bij ernstige lekken zien we misbruik vaak al binnen 1 of 2 weken.

Ongeveer 60 procent van de datalekken is te herleiden tot een bekend lek waarvoor een patch beschikbaar was. Dat betekent dat goed patchmanagement een groot deel van de incidenten voorkomt, zonder dure extra producten. Je gebruikt vooral wat je al hebt, alleen consequenter.

Wat onder patchmanagement valt

Patchmanagement gaat over meer dan alleen Windows-updates. Elk stuk software en elk apparaat met een verbinding kan een lek bevatten. Een volledig overzicht voorkomt blinde vlekken.

Vergeten apparaten zijn een veelvoorkomend probleem. Een printer of camera die jaren niet is bijgewerkt, kan een ingang vormen. Begin daarom altijd met een inventarisatie: je kunt alleen bijwerken wat je weet te hebben. Veel MKB-bedrijven ontdekken bij die eerste telling 10 tot 20 procent meer apparaten dan ze dachten te hebben.

Een werkbaar patchbeleid opstellen

Een patchbeleid hoeft geen dik document te zijn. Een werkbaar beleid past op 1 pagina en legt vast wie wat doet, binnen welke termijn. Deze onderdelen horen erin.

De kern is de termijn per risiconiveau, uit de eerdere tabel. Spreek af dat kritieke, actief misbruikte lekken binnen 48 uur worden gepatcht, en de rest in oplopende termijnen. Leg ook vast wat je doet als een systeem niet kan worden bijgewerkt, bijvoorbeeld omdat een leverancier achterloopt. Zo'n systeem isoleer je dan extra, bijvoorbeeld met netwerksegmentatie.

Updates eerst testen

Een update kan zelf problemen veroorzaken, bijvoorbeeld als een bedrijfsapplicatie er niet tegen kan. Daarom is testen verstandig, zeker voor servers en kritieke systemen. Tegelijk mag testen geen excuus worden om maandenlang te wachten.

Een praktische aanpak is gefaseerd uitrollen. Je installeert de update eerst op een kleine groep, bijvoorbeeld 5 tot 10 procent van de werkplekken, en kijkt 1 of 2 dagen of er problemen zijn. Daarna rol je uit naar de rest. Voor werkplekken kun je dit grotendeels automatiseren, voor servers plan je een onderhoudsmoment in.

Maak altijd een back-up voordat je een grote update op een server installeert. Mocht de update iets breken, dan kun je terug naar de vorige situatie zonder dataverlies.

Hulpmiddelen voor het MKB

Handmatig bijhouden of elk apparaat bij is, werkt tot een stuk of 20 werkplekken. Daarboven heb je een hulpmiddel nodig dat het overzicht bewaakt en updates uitrolt.

Werk je al met Microsoft 365, dan heb je met Intune vaak al een groot deel van het gereedschap in handen. Voor een omgeving met 50 werkplekken kost gestructureerd patchbeheer via een partner ongeveer 150 tot 400 euro per maand. Afgezet tegen de gemiddelde schade van een incident, dat snel boven de 50.000 euro uitkomt, is dat een verstandige uitgave.

Patchmanagement en wetgeving

Voor bedrijven die onder NIS2 vallen, is tijdig patchen geen vrije keuze maar onderdeel van de zorgplicht. De toezichthouder verwacht dat je aantoonbaar je systemen actueel houdt. Ook zonder die verplichting verwacht de AVG passende beveiliging, en achterstallige updates passen daar slecht bij.

Documenteer daarom wat je doet. Een eenvoudig logboek waarin staat welke updates wanneer zijn uitgevoerd, helpt je niet alleen bij een audit maar ook om zelf het overzicht te houden. Zie NIS2 technische maatregelen voor de bredere context van wat er onder de zorgplicht valt.

Patchmanagement in de praktijk

Hoe werkt dit in een gewoon bedrijf? Neem een accountantskantoor met 70 medewerkers en een mix van werkplekken, 2 servers en een handvol apparaten. Toen ze begonnen met een inventarisatie, telden ze ongeveer 15 procent meer apparaten dan ze dachten te hebben, waaronder 2 vergeten netwerkprinters die al ruim 18 maanden geen update hadden gehad. Precies zulke vergeten apparaten zijn een geliefd doelwit.

Het kantoor stelde een patchbeleid op van 1 pagina. Daarin staat dat kritieke, actief misbruikte lekken binnen 48 uur worden gepatcht, belangrijke lekken binnen 4 weken en de rest binnen 12 weken. De werkplekken worden grotendeels automatisch bijgewerkt via het beheerplatform, eerst op een testgroep van ongeveer 10 procent en 2 dagen later op de rest. De servers worden gepland bijgewerkt tijdens een onderhoudsmoment, altijd na een verse back-up.

In het eerste jaar bleek het verschil meetbaar. Waar eerder updates soms maanden bleven liggen, staat nu meer dan 95 procent van de systemen binnen de afgesproken termijn bij. Het bewaken kost de IT-partner ongeveer 4 uur per maand, tegen een tarief dat neerkomt op zo'n 280 euro per maand voor deze omvang. Op jaarbasis is dat ruim 3.300 euro, een fractie van de gemiddelde schade van een incident, die voor het MKB al snel boven de 50.000 euro uitkomt.

Een belangrijk inzicht uit dit voorbeeld: het grootste rendement zit niet in dure software, maar in discipline. De meeste lekken die worden misbruikt, waren al maanden bekend en opgelost. Door simpelweg consequent en op tijd bij te werken, dicht je het overgrote deel van de gaten waarlangs aanvallers binnenkomen. Documenteer wel wat je doet, want een eenvoudig logboek helpt zowel bij een audit als bij het bewaken van je eigen overzicht.

Veelgestelde vragen

Hoe snel moet ik een kritieke update installeren?

Voor een lek dat actief wordt misbruikt, is de richtlijn binnen 48 uur. Aanvallers beginnen vaak al binnen 1 of 2 weken na het uitkomen van een update te scannen naar systemen die nog niet zijn bijgewerkt, dus snelheid telt.

Moet ik elke update meteen installeren?

Kritieke beveiligingsupdates wel, met spoed. Voor minder urgente updates is gefaseerd uitrollen verstandig: eerst een kleine testgroep, dan de rest. Zo voorkom je dat een update een bedrijfsapplicatie verstoort, zonder dat je maanden wacht.

Wat doe ik met software die de leverancier niet meer bijwerkt?

Verouderde software zonder updates is een risico. Vervang die waar het kan. Kan dat niet meteen, isoleer het systeem dan zo veel mogelijk van de rest van het netwerk en beperk de toegang, totdat vervanging mogelijk is.

Kost patchmanagement veel tijd?

Met de juiste hulpmiddelen valt het mee. Voor werkplekken is veel te automatiseren. Reken voor een omgeving van 50 werkplekken op ongeveer 150 tot 400 euro per maand als een partner het bewaakt, inclusief monitoring en uitrol.

Dit artikel beschrijft algemene werkwijzen en richttermijnen. De juiste aanpak hangt af van jouw systemen en risicoprofiel. Test ingrijpende updates op kritieke systemen altijd eerst, en maak vooraf een back-up.