En patch er en programvareoppdatering som fikser en feil eller tetter et sikkerhetshull. Leverandører gir ut patcher når de oppdager feil. Noen ganger er feilen mindre, og patchen er rutinemessig. Noen ganger er feilen kritisk, og patchen haster. Forskjellen er viktig. En feil i ekstern kodekjøring i en internettrettet tjeneste må patches innen timer. En kosmetisk feil i et internt verktøy kan vente til neste vedlikeholdsvindu.

Oppdateringer er ikke valgfrie. De aller fleste vellykkede angrep utnytter kjente sårbarheter som hadde tilgjengelige oppdater. WannaCry spredte seg i 2017 gjennom en Windows-feil som Microsoft hadde rettet to måneder tidligere. Organisasjoner som ikke hadde installert oppdateringen ble rammet. De som hadde det, var immune. Det samme mønsteret gjentar seg hvert år. Angripere skanner etter uoppdaterte systemer fordi de er enkle mål. Oppdatering er lite glamorøst arbeid. Det krever testing, planlegging og noen ganger omstart. Det forhindrer også flere sikkerhetsbrudd enn nesten noen annen kontroll.

Patch-kategorier

• Sikkerhetsoppdateringer – reparer sårbarheter, høyeste prioritet
• Feilrettinger – retter opp funksjonelle feil
• Funksjonsoppdateringer – legg til nye funksjoner, kan introdusere risiko
• Fastvareoppdateringer – oppdaterer kode på maskinvarenivå
• Nødoppdateringer – utgivelser utenfor båndet for kritiske feil

Test patcher før du distribuerer dem bredt. En patch som ødelegger et kritisk program er sin egen type hendelse.