Trend Micro varoittaa tietoturvapäivitysten laadun rajusta heikkenemisestä

Trend Micron Zero Day Initiative -ohjelma kannustaa alan toimijoita kehittämään toimintaansa ja viestintäänsä

Trend Micro varoittaa organisaatioita vaillinaisista ja jopa viallisista päivityksistä, jotka saattavat kukin aiheuttaa jopa 400 000 dollarin kustannukset. Vastatakseen sekä huonompilaatuisten päivitysten että toimijoiden viestinnän synnyttämiin ongelmiin Trend Micron Zero Day Initiative (ZDI) -ohjelma paljastaa jatkossa myös tehottomat ja suorastaan vaaralliset päivitykset. Uuden linjauksen tavoite on osaltaan auttaa koko alaa kehittämään toimintaansa. Jatkossa ZDI-ohjelman 120 vuorokauden rajaa lyhennetään niiden bugien kohdalta, joiden uskotaan johtuvan asentamattomista tietoturvapäivityksistä.

– ZDI-ohjelma on paljastanut jo yli 10 000 haavoittuvuutta vuoden 2005 jälkeen. Siitä huolimatta olemme tänään, enemmän kuin koskaan aikaisemmin, syvästi huolestuneita tietoturvapäivitysten nykytilasta, kertoo Kalle Salminen, Trend Micron kyberturva-asiantuntija. Riittämättömiä ja keskeneräisiä päivityksiä julkaisevat toimijat sekoittavat asiakkaitaan entisestään epäselvällä viestinnällä, mikä maksaa sekä rahaa että aikaa. Samalla ne aiheuttavat tarpeettomia liiketoimintariskejä.

Jopa asianmukaisesti toteutetut päivitykset voivat tahtomattaan kasvattaa riskejä vihjaamalla verkkohyökkääjille ja haittaohjelmien kehittäjille piilevistä haavoittuvuuksista. Keskeneräiset tai vialliset päivitykset kasvattavat vaaran moninkertaiseksi. Ei ole mitenkään poikkeuksellista, että päivitysten jälkien korjaaminen maksaa keskisuurille ja suurille yrityksille kuusinumeroisen summan joka kuukausi. Saman haavoittuvuuden korjaaminen usealla erillisellä päivityksellä maksaa sekä aikaa että rahaa. Samalla organisaatiot altistavat itsensä tarpeettomille riskeille.

ZDI on maailman suurin toimittajista riippumaton bugien palkkionmetsästysohjelma, jonka avulla löydettiin lähes 64 % kaikista vuonna 2021 paljastetuista haavoittuvuuksista. Lue lisää ZDI:n käytäntöjen muutoksista täällä: https://www.zerodayinitiative.com/blog/2022/8/11/new-disclosure-timelines-for-bugs-from-faulty-patches