Yama yönetimi, bir kuruluş genelinde yazılım güncellemelerini bulma, test etme ve uygulama sürecidir. Basit gibi görünse de aslında öyle değildir. Orta ölçekli bir şirket, binlerce cihazda yüzlerce uygulama çalıştırır. Her tedarikçi kendi takvimine göre yamalar yayınlar. Bazı yamalar birbiriyle çakışır. Bazıları özel entegrasyonları bozar. Bazıları ise işletmenin karşılayamayacağı kesinti süreleri gerektirir. Yama yöneticisi, güvenliği operasyonel riskle dengelemeye çalışır.

İyi bir yama yönetim programı envanterle başlar. Var olduğunu bilmediğiniz bir şeye yama uygulayamazsınız. Bu, her sunucuyu, iş istasyonunu ve ağ cihazını takip etmek anlamına gelir. Her birinde hangi yazılımın çalıştığını ve kime ait olduğunu bilmek demektir. Ardından önceliklendirme gelir. İnternete açık sistemlerdeki kritik güvenlik açıkları önce yamalanır. Sınırlı risk altındaki dahili araçlar bekleyebilir. Üretimden önce bir hazırlık ortamında testler yapılır. Bir yama sorunlara neden olduğunda geri alma planları mevcuttur. Otomasyon, rutin güncellemeleri yönetir. İstisnalar takip edilir ve incelenir. İyi yama yapan kuruluşlar, bunu üç aylık bir proje olarak değil, sürekli bir süreç olarak ele alırlar.

Yama yönetimi adımları

• Tüm sistemlerin ve yazılımların envanterini çıkarın.
• Yeni yamalar için tedarikçi duyurularını takip edin.
• Test ortamında yamaları deneyin.
• Üretim ortamına aşamalı olarak dağıtım yapın.
• Kurulumu doğrulayın ve hataları takip edin.

Çoğu saldırı bilinen güvenlik açıklarından yararlanır. Yama yönetimi, saldırganlar içeri girmeden önce kapıyı kapatır.