Dette koster bedriften millioner av kroner

Trend Micro, advarer om at et økende antall ufullstendige eller defekte sikkerhetsoppdateringer kan koste virksomheter så mye som 4 millioner kroner for hver oppdatering.

I en tale under årets Black Hat USA-konferanse i Las Vegas for kort tid siden, presenterte representanter fra Trend Micros Zero Day Initiative (ZDI) endringer utviklet for å utbedre den betydelige nedgangen i kvaliteten på sikkerhetsoppdateringer. Endringene var i tillegg gjennomført for å øke kvaliteten på kommunikasjonen mellom leverandører og kunder.

– ZDI har avslørt over 10.000 sårbarheter knyttet til leverandørers løsninger siden 2005. Samtidig har vi aldri vært mer bekymret for tilstanden til sikkerhetsoppdateringer i bransjen som nå. Leverandører som slipper utilstrekkelige oppdateringer, etterfulgt av forvirrende råd, fører til en betydelig økning i både kostnader og tidsbruk for kundene, sier Brian Gorenc, seniordirektør for sårbarhets-forskning og leder av ZDI, i en pressemelding.

Dert kan i tillegg fører til økt forretningsrisiko, forklarer han.

Falsk trygghet

ZDI har identifisert tre hovedutfordringer som en konsekvens av feilaktige eller ufullstendige sikkerhetsoppdateringer fra leverandørene:

• Som følge av mangelfull leverandørpraksis har ikke virksomheter lenger en fullstendig oversikt over risikoen relatert til nettverkene deres.
• Som følge av ufullstendige og feilaktige sikkerhetsoppdateringer bruker virksomheter ekstra tid og penger på å forsøke å tette sikkerhetshull de allerede har rettet opp i.
• Som følge av feilaktig tro på at utbedringer har funnet sted, resulterer en mislykket sikkerhetsoppdatering til større risiko enn om ingen sikkerhetsoppdatering hadde blitt installert.

Koster millioner

– Det er ikke uvanlig at kostnadene for å oppdatere applikasjoner og programvare hos mellomstore- og store virksomheter overstiger et sekssifret beløp hver måned. Og uavhengig av formelen som brukes til å beregne disse kostnadene, medfører det både ekstra tid og penger å oppdatere for samme sårbarhet flere ganger. I tillegg til den unødvendige risikoen som også blir større, sier Karianne Myrvold i Trend Micro Norge.

For å bedre forstå og redusere disse risikoene, anbefaler Trend Micro at virksomheter bør:

• Utvikle strenge rutiner for oppdagelse og administrasjon av virksomhetens eiendeler.
• Der det er mulig, stemme med lommeboken på de mest pålitelige leverandørene. Med andre ord: ikke bruk penger på aktører du ikke kan stole på.
• Gjennomføre risikovurderinger som går utover faste ukentlige rutiner. Det kan innebære å holde tritt med revisjoner av oppdateringer, samt følge nøye med på endringer i trussellandskapet.