Kritiska säkerhetsbrister kräver snabba åtgärder

CERT-SE har varnat för två kritiska sårbarheter i PHP som kan göra det möjligt för angripare att köra skadlig kod på en server. Samtidigt närmar sig slutet för Microsofts stöd till .NET 8 och .NET 9.

Det är två exempel på vad löpande teknisk förvaltning behöver hantera. Nyupptäckta säkerhetsbrister kan kräva snabba insatser, medan versioner som slutar få säkerhetsuppdateringar behöver uppgraderas med framförhållning. Båda påverkar säkerheten i webbplatser, digitala tjänster och bakomliggande system.

Säkerhetsuppdateringar kräver både beredskap och planering

Säkerhetsuppdateringar behövs i hela den tekniska miljön

Bakom en digital tjänst finns flera tekniska lager. CMS, ramverk, kodbibliotek, databaser och servermiljöer behöver hållas uppdaterade. Även systemen som kopplas samman genom integrationer har egna versioner och livscykler.

När en version inte längre stöds kan tjänsten fortsätta fungera precis som vanligt. Skillnaden är att leverantören slutar rätta nya säkerhetsbrister. Att allt fungerar som förväntat säger därför inte hela sanningen om säkerheten.

En överblick över systemen och deras beroenden gör det lättare att bedöma vilka delar som berörs av en säkerhetsvarning och var en uppdatering behöver genomföras.

Säkerhetsuppdatering och uppgradering kräver olika planering

En säkerhetsuppdatering rättar sårbarheter i en befintlig version. Arbetet behöver anpassas efter hur allvarlig bristen är, hur systemet används och hur det är exponerat. En kritisk sårbarhet i en internetåtkomlig tjänst kan kräva omedelbar hantering.

En uppgradering innebär att gå till en nyare version av exempelvis ett CMS eller ett ramverk. Den kan behövas när stödet för den befintliga versionen upphör. Då kan även kod, integrationer och andra beroenden behöva anpassas.

Båda typerna av förändringar behöver verifieras. Vid en större uppgradering krävs ofta mer omfattande tester av funktioner och informationsflöden. Med framförhållning går det att avsätta budget och tid för utveckling, testning och driftsättning innan versionsstödet upphör.

Tydligt ansvar gör det lättare att agera

Ansvaret för tekniken är ofta fördelat mellan interna team, utvecklingspartner och driftleverantör. En part kan ansvara för applikationen och en annan för servermiljön.

Därför behöver ansvarsfördelningen vara tydlig för varje del av miljön. Vem följer säkerhetsvarningar? Vem bedömer om systemen berörs? Vem genomför och testar uppdateringen, och vem fattar beslut när en åtgärd är brådskande?

En gemensam rutin för bedömning, beslut och genomförande gör att arbetet kan komma igång snabbt när en allvarlig säkerhetsbrist upptäcks.

Det här behöver du ha koll på som beställare

En användbar överblick omfattar följande.

Vilka system, plattformar och tekniska komponenter verksamheten är beroende av och vilka versioner som används. 

• När respektive version slutar få säkerhetsuppdateringar.
• Vem som ansvarar för bevakning, riskbedömning, uppdatering och testning.
• Vilka uppgraderingar som behöver planeras och budgeteras.
• Hur brådskande säkerhetsåtgärder beslutas och genomförs.

Underlaget behöver hållas aktuellt när tekniken förändras. Det ger också en grund för dialogen med de leverantörer som ansvarar för olika delar av miljön.

Vi bevakar säkerhetsvarningar och prioriterar åtgärder

När varningen om PHP kom gick vi igenom våra förvaltningskunders miljöer och åtgärdade de installationer som berördes.

I det löpande arbetet följer vi säkerhetsvarningar och leverantörernas uppdateringar, håller koll på när olika versioner slutar få stöd och hjälper våra kunder att planera nödvändiga åtgärder.

Prioriteringen utgår från vilka system som berörs, hur allvarlig sårbarheten är och vilka konsekvenser ett angrepp skulle kunna få. Beroenden mellan systemen påverkar också hur uppdateringar behöver genomföras och testas. Utifrån bedömningen avgör vi vad som behöver åtgärdas direkt och vad som ska planeras tillsammans med kunden.

För våra förvaltningskunder blir bevakning, säkerhetsuppdateringar och planerade uppgraderingar en del av det löpande arbetet. 

Läs mer om förvaltning och support för digitala plattformar

Läs även