Controllo 15: 

Tutti i software in uso (inclusi i firmware) sono aggiornati all’ultima versione consigliata dal produttore. I dispositivi o i software obsoleti e non più aggiornabili sono dismessi.

L’ultimo controllo chiude il cerchio richiamando il #controllo1, sulla mappatura dei dispositivi  e del software in essi installato. La programmazione di aggiornamento o sostituzione dovrebbe avvenire in modo preordinato e non, come avviene molto spesso, in urgenza. Avere dei sistemi operativi obsoleti (come ad esempio Windows 10 o peggio in alcuni casi ancora Windows 7) per cui la casa produttrice non rilascia più gli aggiornamenti dovuti, può risultare molto rischioso
per i sistemi aziendali, poiché può rivelarsi sostanzialmente la breccia virtuale da cui possono passare serie minacce alla rete aziendale.

Vulnerabilità e software aggiornati

La prevenzione degli incidenti di sicurezza parte dall’applicazione di buone pratiche per la messa in sicurezza dei sistemi informativi e dei computer, siano essi personali o aziendali. Su tutti i dispositivi è presente software, sotto forma di applicazioni e sistemi operativi, che deve essere aggiornato costantemente nel tempo per sanare vulnerabilità note. Le vulnerabilità sono rappresentate da difetti ed errori, involontariamente inseriti nel software dal produttore durante la sua realizzazione. Questi rappresentano dei punti deboli sfruttabili da criminali per compromettere il funzionamento dei sistemi o accedere illecitamente a informazioni e dati aziendali. All’identificazione di una vulnerabilità in un software segue normalmente il rilascio di un aggiornamento da parte del produttore. L’applicazione dell’aggiornamento risolve la vulnerabilità e impedisce che la stessa possa essere sfruttata da cyber-criminali per future intrusioni.
Per tutti i motivi sopra citati è opportuno pertanto che:

– l’azienda disponga delle licenze per il software impiegato in modo da poter accedere agli aggiornamenti offerti dal produttore in maniera tempestiva;
– laddove possibile e ragionevole sia configurato l’aggiornamento automatico del software. Questo, in particolare, per i personal computer utilizzati dai dipendenti, che rappresentano spesso uno tra i bersagli più semplici da compromettere;
– su tutti i sistemi sui quali non sia possibile un aggiornamento automatico, è opportuno che venga predisposto un processo di acquisizione delle patch, identificazione di quelle critiche e la loro successiva applicazione. La tempestività di questo processo è un fattore determinante, dato che nuove vulnerabilità possono essere sfruttate dagli attaccanti nel giro di poche ore dal momento del loro annuncio pubblico;
– sia pianificata la dismissione del software non più supportato dal produttore e la sua sostituzione con prodotti per i quali gli aggiornamenti vengano garantiti.