Esistono statistiche su quanto siano affidabili le patch di sicurezza? Come la frazione richiamata o corretta?
Una parte della sicurezza di un computer è l'applicazione di patch di sicurezza. Il periodo tra la messa a disposizione di patch e l'installazione della patch ha aumentato il rischio di compromissione, dal momento che gli hacker sono stati informati di una vulnerabilità. Se la tua unica preoccupazione è la sicurezza, dovresti installare tutte le patch di sicurezza e installarle il prima possibile.
Tuttavia conosco amministratori di sistema professionali (nel senso che sono pagati per farlo) che non installano patch di sicurezza perché, dicono, sono preoccupati che l'installazione delle patch "interrompa" il loro sistema in qualche modo .
È facile denigrarli come pazzi. Ma un'analisi più sfumata rileva che il loro compito è non semplicemente per mantenere un sistema informatico sicuro. Il sistema ha un compito aziendale da svolgere e una violazione della sicurezza è solo uno dei numerosi errori di cui devono preoccuparsi. Un approccio razionale tiene conto del costo di ciascuna modalità di errore, del costo delle protezioni contro l'errore e della probabilità che si verifichi. Non installare patch può essere una decisione razionale, almeno teoricamente, in alcune circostanze. Più ragionevolmente, ritardare l'installazione di una patch in attesa di vedere se ha problemi potrebbe essere razionale in più circostanze.
Tuttavia, affinché tali decisioni siano razionali, la probabilità che una patch di sicurezza infranga un'applicazione aziendale deve essere nota e moderatamente elevata. Altrimenti la ragione data è più una scusa per la pigrizia.
Qual è la probabilità di una patch di sicurezza per un componente o un framework del sistema operativo (come un server Web) per interrompere un'applicazione aziendale in esecuzione su tale piattaforma. Esistono statistiche su quanto è probabile che una patch rompa qualcosa?
Ora, nessuno fa realmente un calcolo matematico del guadagno previsto, ma opera piuttosto su alcune intuizioni sul rischio relativo. Sospetto che gli amministratori di sistema abbiano un'intuizione errata sulla probabilità che una patch rompa il loro sistema. Come programmatore di applicazioni aziendali, trovo difficile credere che una patch per un componente del sistema operativo o un framework che è stato ragionevolmente testato dal venditore possa rompere l'applicazione, a meno che l'applicazione non sia stata scritta male e piena di errori che rappresentavano altri rischi aziendali Comunque. Ma come possiamo correggere tali intuizioni errate senza qualche tipo di statistica sulle patch difettose? Ad esempio la frazione di patch richiamata o corretta?