Updates en patches: waarom 'later herinneren' het grootste risico in je KMO is

Je kent het venster: 'Er zijn updates beschikbaar. Nu installeren of later herinneren?' Het verschijnt altijd op een slecht moment, dus je klikt op later. Een week later opnieuw. Bij veel KMO's die we doorlichten, lopen toestellen maanden achter, niet uit onwil, maar omdat niemand er zicht op heeft. In dit artikel leggen we uit wat een patch precies doet, wat er allemaal geüpdatet moet worden en hoe je dat regelt zonder dat het werk stilvalt.

Wat een patch is en waarom aanvallers erop wachten

Software bevat fouten. Sommige van die fouten laten toe dat een buitenstaander code uitvoert, wachtwoorden leest of een toestel overneemt. Zodra de maker zo'n lek ontdekt, brengt hij een correctie uit: een patch. Die zit meestal verpakt in een gewone update.

Het probleem is dat de patch ook een aankondiging is. Op het moment dat een lek publiek wordt, weten aanvallers precies waar ze moeten zoeken, en ze proberen het automatisch uit op alles wat online bereikbaar is. Dat gebeurt binnen dagen, soms uren. Wie dan nog niet geüpdatet heeft, is een open deur. Wat we bij incidenten zien, is zelden een nieuwe truc: meestal is het een lek waarvoor de patch al weken beschikbaar was.

Wat er allemaal geüpdatet moet worden (en wat vaak vergeten wordt)

Windows en macOS zijn meestal wel in orde, omdat die zelf aandringen. De rest van je omgeving is stiller, en daar zit het risico.

• Besturingssystemen: Windows en macOS op elke laptop en pc, ook die van de zaakvoerder en het toestel aan het onthaal.
• Browsers: Chrome, Edge, Firefox en Safari. Ze updaten zichzelf, maar alleen als iemand ze af en toe volledig afsluit.
• Office en andere werkprogramma's: Word, Excel, Outlook, Teams, pdf-lezers.
• Telefoons en tablets: iOS en Android, plus de apps waarmee je zakelijke mail leest.
• Router en firewall: het toestel dat je hele netwerk beschermt, en dat vaak sinds de installatie niet meer aangeraakt is.
• NAS en servers: de opslag waar je bestanden en back-ups staan, een geliefd doelwit voor ransomware.
• Printers, camera's en andere netwerktoestellen: alles met een netwerkkabel of wifi draait software.
• Boekhoud- en vakspecifieke software, en de plugins van je website. Een verouderde plugin is de meest voorkomende reden waarom een KMO-website gehackt wordt.

Maak van deze lijst een inventaris: welk toestel, welke software, wie is verantwoordelijk, wanneer is het laatst geüpdatet. Zonder die lijst blijft patchen giswerk.

Waarom mensen uitstellen, en hoe je dat oplost

Uitstel is menselijk en meestal terecht: de update wil herstarten tijdens een klantgesprek, of iemand herinnert zich dat een vorige update iets brak. Je lost dat niet op met een strengere mail, wel met afspraken die het uitstel overbodig maken.

• Vaste updatevensters: bijvoorbeeld elke dinsdagavond of woensdagmiddag. Iedereen weet dat toestellen dan herstarten, dus niemand wordt verrast.
• Automatische updates buiten de uren: laat pc's 's nachts updaten en herstarten, met de afspraak dat iedereen zijn werk opslaat en de laptop aan de lader laat.
• Een testgroep: twee of drie toestellen krijgen updates een paar dagen eerder. Breekt er iets, dan merk je het daar en niet bij het hele team.
• Kritieke patches meteen: als een leverancier of je IT-partner een lek als ernstig bestempelt, wacht je niet op het venster. Die uitzondering spreek je vooraf af.

Als je systeem geen updates meer krijgt

Elke versie van een besturingssysteem heeft een einddatum. Daarna verschijnen er geen patches meer, terwijl nieuwe lekken wel gevonden worden. Zo'n toestel wordt elke maand onveiliger, en dat geldt ook voor oude NAS-modellen, routers en telefoons waarvan de fabrikant gestopt is. Wat je dan doet, in volgorde van voorkeur:

1. Upgraden naar een ondersteunde versie als de hardware het aankan.
2. Het toestel vervangen als upgraden niet lukt. Reken dat mee in je jaarlijkse IT-budget, zodat het geen verrassing is.
3. Kan het echt niet weg, bijvoorbeeld omdat er een machine of een oud programma aan hangt, isoleer het dan: geen internet, geen mail, een apart netwerksegment en een duidelijke einddatum.

Wat je niet doet: het toestel gewoon laten meedraaien omdat het nog werkt. Werken en veilig zijn is niet hetzelfde.

Hoe je zicht houdt, en een patchbeleid van vijf regels

Het moeilijkste aan patchen is niet het installeren, maar het overzicht. Dat overzicht krijg je op drie manieren: een inventaris die je zelf bijhoudt, centraal beheer waarbij een IT-partner alle toestellen vanop afstand updatet en de status ziet, en een maandelijkse rapportering die toont wat achterloopt. Zet daarnaast dit beleid op één pagina, naast je andere IT-afspraken:

1. Alle toestellen en software staan in een inventaris met een verantwoordelijke.
2. Beveiligingsupdates worden binnen de week geïnstalleerd, kritieke updates binnen 48 uur.
3. Updates draaien automatisch buiten de werkuren; herstarten wordt niet uitgesteld voorbij het weekend.
4. Software zonder ondersteuning wordt vervangen of geïsoleerd, nooit gewoon behouden.
5. Eén keer per maand controleert iemand de status en meldt wat achterloopt.

Trage of vreemd reagerende pc's zijn trouwens vaak een teken dat updates lang uitgesteld zijn. Lees ook wat je doet als een computer raar doet. En vergeet je Microsoft 365-omgeving niet: deze acht instellingen horen bij hetzelfde onderhoud.