Aktualizacje są nieodłączną częścią codzienności, podobnie jak problemy z nimi związane. Tempo rozwoju tej dziedziny znacznie wzrosło w ciągu ostatnich lat. Okresy wsparcia dla aktualizacji Windowsa są coraz krótsze – firmy są zmuszone reagować szybciej.
Na politykę aktualizacji Microsoft już od kilku lat wylewa się fala krytyki. Poszczególne wersje systemu Windows mają coraz krótsze okresy wsparcia. Dwa razy do roku Microsoft udostępnia zbiorcze pakiety aktualizacji dawniej znane jako “service pack”. Firmy nie mają tak naprawdę wyboru: zainstalują nową wersję lub przestaną otrzymywać wsparcie a co za tym idzie – stracą wszystkie przyszłe aktualizacje. Zdaniem ekspertki Susan Bradley, zawrotne tempo uaktualnień sprawia, że szczególnie firmy ledwo za nimi nadążają.
Zaległości na czas
Dwie tak duże aktualizacje w ciągu roku oznaczają ogromne obciążenie dla kierowników branży IT. Dzieje się tak, ponieważ aktualizacja nie może zostać zainstalowana “tak po prostu”, bez problemów. Ich eliminacja zajmuje często dużo czasu. Jednocześnie przedsiębiorstwo z Redmond naciska na swoich klientów, żeby zawsze byli na bieżąco.
Działy IT muszą działać pod nieustanną presją, jeśli nie chcą stracić wsparcia producenta. W międzyczasie jednak okazuje się, że wcześniejsza wersja programu nie będzie już wspierana po upływie półtora roku. Jeśli chcesz otrzymywać dalsze aktualizacje, musisz utrzymywać Windows zawsze na najbardziej aktualnym poziomie. Aktualizacja o nazwie “Redstone 5” z października 2018 roku, nie będzie już wspierana dla niektórych wersji systemu Windows od maja bieżącego roku. Jedynym wyjątkiem są wersje “LTSC” z długoterminowym wsparciem technicznym przez 10 lat, za które Microsoft każe sobie odpowiednio więcej płacić. Okres dłuższy niż 18 miesięcy wspierania dla danej wersji to absolutny wyjątek.
Jednak poza zwyczajnymi, codziennymi operacjami, firmy często nie mają czasu na ciągłe przeprowadzanie testów przyszłych wersji Windowsa. Osoby odpowiedzialne zazwyczaj grają na czas. Wielu naszych klientów jest co najmniej jedną wersję do tyłu. Innymi słowy, w połowie marca 2020 roku, niektóre firmy dopiero przechodziły zmianę z wersji 1803 na wersję 1903 z maja 2019 roku. Wsparcie dla nich będzie obowiązywać jedynie do ósmego grudnia tego roku. Zegar już tyka.
Dobre strony
Pomimo całej tej presji wynikającej z krótszych cykli aktualizacji, jest jedna rzecz, o której nie wolno zapomnieć: w ciągu ostatnich lat sytuacja w zakresie bezpieczeństwa IT również znacznie przyspieszyła. Luki w zabezpieczeniach są wykrywane i łatane w coraz szybszym tempie, co wywołuje falę poprawek i aktualizacji.
W takiej sytuacji niedopuszczalnym jest, by z zainstalowaniem krytycznych, usuwających luki w zabezpieczeniach aktualizacji, czekać dłużej niż to konieczne. Czasy, kiedy wystarczyło raz na kilka lat zainstalować dużą aktualizację zbiorczą dawno już minęły. Kierownicy branży IT w nieważne jak dużej firmie także muszą się z tym pogodzić.
Zainfekowane witryny
Nie jest to jednak takie proste. W niewyobrażalnie dużej liczbie miejsc wciąż mamy do czynienia z polityką, którą według dzisiejszych standardów śmiało można by określić jako starożytną. “Zwyczajnie uaktualnij” nie wchodzi tu w grę – nie bez pomocy ogromnych nakładów finansowych. Właśnie w tym cały szkopuł.
“Nieuwzględnione w tegorocznym budżecie” to często słyszane stwierdzenie, gdy przychodzi do modernizacji infrastruktury IT. I tak wiele firm kontynuuje używanie systemów, których zwyczajnie nie da się zabezpieczyć. Bardzo istotnym jest, by odizolować takie systemy od reszty infrastruktury.
Nawet te luki w zabezpieczeniach, które już dawno zostały załatane, mogą prowadzić do przebudzenia zła. Protokół SMB1.x, który kiedyś promował rozprzestrzenianie się “Wannacry” przez lukę w zabezpieczeniach wciąż jest aktywny w wielu firmach, pomimo ostrzeżeń ze strony ekspertów. Czasami jakaś starsza aplikacja nadal potrzebuje tego protokołu, innym razem organizacje nie mają nawet bladego pojęcia, że jest on wciąż aktywny.
Co dalej?
To jest bardziej niż prawdopodobne, że Microsoft nie zmieni swojej polityki aktualizacji. Z punktu widzenia Microsoftu ma ona sens pod względem ekonomicznym: firma nie musi liczyć się z ogromnymi kosztami, wynikającymi z obsługiwania masy starych systemów operacyjnych i może ograniczyć się tylko do aktualnych wersji. Zamiast ochrony trzech lub czterech różnych wersji systemu Windows (np. Windows 10, Windows 8, Windows 7, Windows Vista i ich serwerowych odpowiedników), może skoncentrować się wyłącznie na “dziesiątce”.
Jednakże działy IT i dostawcy usług na niektórych obszarach nie mają odpowiedniego wyposażenia. Brakuje czasu, ludzi i budżetu. Są również wymagania zewnętrzne, takie jak np. ustawa o bezpieczeństwie IT obowiązująca na terenie Niemiec. Zgodnie z nią, zabezpieczenia powinny być kompatybilne z aktualnym stanem techniki. Pozostawia to tak wiele niedopowiedzeń i obszarów do własnej interpretacji, że możliwe jest granie na zwłokę. Tak poza tym, to właśnie słowo “powinny” gra tu pierwsze skrzypce. Firma nie może zostać zmuszona do wydania nieproporcjonalnie dużych pieniędzy tylko po to, by “być kompatybilna”. Bezpieczeństwo IT nie jest celem samym w sobie. W końcu nie opłaca się robić kilkudniowego przestoju w pracy tylko po to, żeby zaktualizować wszystkie systemy – pomijając fakt, że może się to skończyć kłopotami finansowymi firmy. Wiele elementów struktury firmy nie może zostać zaktualizowanych, ponieważ oznaczałoby to kompletną (i rujnującą finansowo) wymianę sprzętu produkcyjnego.
Jedynym sposobem na utrzymanie tempa i bycie stale na bieżąco z kwestiami bezpieczeństwa jest przyspieszenie procesów wewnętrznych. To jednak wymaga ponownego przemyślenia sposobu zarządzania. Fundamenty zostały już położone – w końcu istnieje obecnie kilka ustaw, rozporządzeń i wytycznych, które wyraźnie umiejscawiają bezpieczeństwo IT w obszarze odpowiedzialności zarządzania. Kierownictwo firmy jest zobowiązane do zapewnienia menedżerom IT finansowych, ludzkich i czasowych zasobów, by rozwijać i utrzymywać rozsądny koncept bezpieczeństwa. Mimo wszystko, nadal czeka nas długa droga.
