Aggiornamenti di sicurezza: perché rimandarli costa caro all’azienda
Perché le patch non vanno rimandate, quali dispositivi si dimenticano e come organizzare gli aggiornamenti senza fermare l'ufficio.
In questo articolo 6 sezioni
In breve
- Molti attacchi entrano da falle già note e già corrette dal produttore, su sistemi che nessuno ha aggiornato.
- Gli aggiornamenti vanno pianificati: una finestra fissa, una prova su pochi computer, poi il resto dell’ufficio.
- Oltre ai PC vanno seguiti server, firewall, NAS, stampanti e i programmi gestionali.
“Aggiorna adesso” o “Ricordamelo domani”? In quasi tutti gli uffici vince il secondo pulsante. C’è una scadenza, il computer è lento, l’ultima volta dopo il riavvio la stampante non andava più. Così l’aggiornamento slitta di un giorno, poi di una settimana, e a volte resta lì per mesi.
Il problema è che ogni aggiornamento di sicurezza corregge un difetto che da quel momento è pubblico. Chi attacca legge gli stessi bollettini dei tecnici e cerca in rete i sistemi rimasti indietro. Più passa il tempo, più quella falla diventa facile da sfruttare.
Cosa c’è dentro un aggiornamento
Oltre alle nuove funzioni, una parte consistente degli aggiornamenti chiude vulnerabilità: errori nel codice che permettono a qualcuno di entrare in un sistema, eseguire programmi o leggere dati senza averne il diritto.
Microsoft, per esempio, pubblica gli aggiornamenti di sicurezza di Windows e Office il secondo martedì di ogni mese. Lo fanno in modo simile i produttori di firewall, NAS e software gestionali, ciascuno con i propri tempi. Quando esce la correzione, esce anche la descrizione del difetto, e da lì parte la corsa tra chi aggiorna e chi attacca.
Perché rimandare costa caro
Una buona parte degli attacchi alle piccole aziende non usa tecniche sofisticate. Sfrutta una porta lasciata aperta: un accesso remoto con una falla nota, un firewall con il firmware di due anni fa, un server di posta mai aggiornato. Nell’articolo su cosa fare dopo un attacco ransomware lo diciamo chiaramente: prima di ripristinare bisogna capire da dove sono entrati, e spesso la risposta è un sistema non aggiornato.
Il costo di un’interruzione di qualche giorno, tra fermo del lavoro, recupero dei dati e tempo del tecnico, è quasi sempre più alto delle ore necessarie a tenere i sistemi in ordine. Se poi ci sono di mezzo dati personali, si aggiungono le notifiche al Garante e le domande dei clienti.
Un sistema fuori supporto non riceve più correzioni di sicurezza, nemmeno se lo si aggiorna ogni giorno. Windows 10, per esempio, ha smesso di ricevere aggiornamenti gratuiti il 14 ottobre 2025. Se in ufficio ci sono ancora computer con Windows 10, vanno sostituiti, aggiornati a Windows 11 o coperti con il programma di aggiornamenti estesi a pagamento di Microsoft.
Non solo i computer
Quando si parla di aggiornamenti si pensa a Windows. In un ufficio però ci sono molti altri dispositivi che hanno un software interno e che invecchiano allo stesso modo:
- server e macchine virtuali;
- firewall, router e access point Wi-Fi;
- NAS e dispositivi di backup;
- stampanti multifunzione, telecamere e centralini telefonici;
- browser, lettori PDF, Java e i programmi gestionali installati sui PC.
Su molti di questi dispositivi l’aggiornamento non parte da solo. Se nessuno lo controlla, resta indietro per anni. Il firewall, che dovrebbe proteggere la rete, è spesso proprio il dispositivo più trascurato.
Come organizzarsi senza bloccare l’ufficio
La paura che un aggiornamento rompa qualcosa è legittima: succede. Si riduce con un metodo semplice.
- Fai l’elenco di cosa c’è in rete: computer, server, dispositivi e programmi, con versione e data di fine supporto.
- Stabilisci una finestra fissa, per esempio la sera o il fine settimana dopo l’uscita degli aggiornamenti mensili, in cui i riavvii sono previsti.
- Installa prima su due o tre computer di prova. Se dopo qualche giorno non ci sono problemi, procedi sul resto.
- Prima di aggiornare server e firewall, verifica di avere un backup recente e funzionante.
- Per le falle gravi già sfruttate dagli attaccanti non aspettare la finestra mensile: si interviene subito.
- Tieni traccia di cosa è stato aggiornato e quando. Serve a te, al tecnico e, per chi rientra nella NIS2 o nelle misure minime AgID, anche a dimostrare che la gestione delle vulnerabilità viene fatta.
Il ruolo del monitoraggio
In un ufficio con dieci o venti postazioni controllare a mano lo stato di ogni computer è lento e ci si dimentica sempre di qualcosa. Un sistema di monitoraggio raccoglie in un’unica schermata lo stato degli aggiornamenti di tutte le macchine, segnala quelle rimaste indietro e quelle che si avvicinano alla fine del supporto, e permette di distribuire gli aggiornamenti nella finestra stabilita.
Per un ente locale il discorso non cambia: le misure minime AgID dedicano un intero gruppo di controlli alla valutazione e correzione continua delle vulnerabilità.
Se vuoi sapere a che punto sono gli aggiornamenti nella tua rete, o affidare a qualcuno il controllo continuo di PC, server e dispositivi, trovi come lavoriamo nella pagina del monitoraggio IT. Possiamo partire da una verifica della situazione attuale nella tua sede, a Potenza o altrove in Basilicata. Scrivici dalla pagina contatti.
