Patch Management Konzept

Change Management hat die Funktion, ändernde Interventionen in Anwendungen, Strukturen, Dokumentation, Prozessen und Prozeduren zu kontrollier. Fehlende oder vernachlässigte Patch- oder Change -Management führen rasch zu Sicherheitslöchern in den Einzelkomponenten und damit zu potenziellen Anlaufstellen. Dieses Modul zeigt, wie ein funktionierender Patch- und Change-Management in einer Einrichtung eingerichtet werden kann, wie der zugehörige Ablauf für Patch- und Change-Management gesteuert und aufbereitet werden kann, so dass Betriebsstörungen verhindert und Sicherheitslöcher rechtzeitig reduziert und behoben werden können.

Der Schwerpunkt der Darstellungen liegt auf dem IT-Betrieb, kann aber auch in anderen Unternehmensprozessen implementiert werden. In diesem Modul bezieht sich das Patch- und Change-Management auf die Aufgabenstellung, Veränderungen zu planen und zu kontrollieren, auch wenn dieser Terminus in anderen Kontexten für die Person, die diese Funktion erfüllt, z. T. auch in anderen Kontexten Verwendung findet.

Die Schaffung und Implementierung eines solchen Verfahrens ist kein geringer Zeitaufwand. Im Falle kleinerer und weniger komplexer Informationsnetze kann die Implementierung von Change Management ausreichen. Zur Einrichtung eines effektiven Systems zur Handhabung von Pflastern und Veränderungen sind eine Vielzahl von Maßnahmen erforderlich. Mit Hilfe von Patch- und Change-Management wurden alle Veränderungen an Hard- und Softwareversionen und deren Konfiguration überwacht und mitkontrolliert.

Zur Erfassung und Bewertung aller Veränderungen sollten alle im Rahmen des Patch- und Change-Managements erfassten ITSysteme dem Patch- und Change-Management unterliegen (siehe Anmerkung 2. 423 Definition der Zuständigkeiten für Patch- und Change-Management). Veränderungen in der Ausstattung und im Status der Anlagen sind daher nur über das Patch- und Change-Management möglich.

Bei der organisatorischen Implementierung von Patch- und Change-Management handelt es sich um eine Querschnittsaufgabe verschiedener Fachbereiche einer IT. Eine einzelne Patch- oder Änderungsoperation startet mit einem Änderungsauftrag. Bedeutung, Dringlichkeit, planmäßige Implementierung (Datum, Reihenfolge) und eventuelle Gefahren und Schwierigkeiten sollten für diese Veränderung gesammelt und protokolliert werden (siehe dazu die Ausführungen in den Kapiteln 2. 421 Patch- und Change-Management-Prozess planen und 2. 422 Änderungswünsche bearbeiten).

Patch- und Change-Management kann mit technischen Hilfsmitteln z. B. für die automatische Verteilung von Unternehmenssoftware sinnvolle Unterstützung finden. Bei Verwendung von Spezialwerkzeugen für die Implementierung von Patch- und Change-Management muss darauf geachtet werden, dass ein Konzept für deren Implementierung erarbeitet wird (siehe Sicherheitshinweis zur Verwendung von Patch- und Change-Management-Tools gemäß Mietvertrag 2. 424).

Die verschiedenen Artikel zur Unterstützung des Patch- und Change-Management-Prozesses sind unterschiedlich. Damit aus diesen Erzeugnissen eine passende Wahl getroffen werden kann, müssen die Voraussetzungen für diese Tools, z.B. welche Plattformeinschränkungen, vor der Anschaffung definiert werden (siehe Anmerkung 2. 425 Angemessene Werkzeugauswahl für Patch- und Change-Management).

Während der Implementierung sollten alle durch Patch- und Change-Management unterstützten IT-Systeme individuell oder in Gruppen untergeordnet werden. Darüber hinaus müssen an diesen Anlagen vorgenommene Änderungswünsche an einer kritischen Position erfasst werden (siehe dazu Anmerkung 3. 34 Änderungsdokumentation an einem vorhandenen System). Abhängig von der Grösse und Kompliziertheit eines Patchs oder einer vorzunehmenden Ãnderung wird ein Implementierungsplan zur Definition von Test-, Kontroll- und Endpunkten sowie VerteilungsprioritÃ?ten in den Bereichen Test, Kontrolle und Beendigung vorgeschlagen.

Es ist sicherzustellen, dass das gewünschte Sicherheits-Niveau während und nach dem Wechsel eingehalten wird. Unter Berücksichtigung der Resourcen und Belange der Geschäftseinheiten und des IT-Betriebs sollte die Umsetzung und Umsetzung von Veränderungen koordiniert werden (siehe dazu die Ausführungen im Abschnitt 2. 426 Einbindung von Patch- und Change-Management in die Unternehmensprozesse und im Abschnitt 2. 427 Koordination von Änderungsanforderungen).

Aus Gründen der Qualitätskontrolle und um Irrtümer zu entdecken und zukünftige Irrtümer zu vermeiden, sollte jeder Patch und jede Veränderung nach der Anwendung evaluiert werden (siehe dazu die Dokumentation zum Erfolg von Änderungsanfragen in der Dokumentation in der Dokumentation des Herstellers P. B. S. 2.429). Dies vervielfacht aber auch die Effekte von Irrtümern, so dass vor der Umstellung sehr sorgfältig getestet werden sollte (siehe dazu Anmerkung 2. 428 Anpassbarkeit im Patch- und Change-Management).

Dabei ist auch zu beachten, dass umzurüstende Anlagen vorübergehend oder dauerhaft ausgeschaltet oder nicht zugänglich sein können. Das gilt insbesondere für tragbare Endgeräte wie Notebooks, Smartphones und BDEs ("M 4.323 Synchronisation innerhalb des Patch- und Änderungsmanagements"). Darüber hinaus muss die Unversehrtheit und Echtheit der eingesetzten Computersoftware während des Patch- und Change-Management-Prozesses fachlich gewährleistet sein (siehe Anmerkung 1. 177 Gewährleistung der Unversehrtheit und Echtheit von Softwarepaketen).

Dabei sind die Autoupdate Mechanismen der verwendeten Softwaren zu berücksichtigen, ungeachtet ihres Nutzungsgrades innerhalb des Patch- und Change-Prozesses (siehe dazu Anmerkung 324 Konfigurieren von Autoupdate Mechanismen im Patch- und Change-Management). Wenn Patch- und Change-Management-Systeme außer Betrieb genommen werden, sollten sie in geregelter Weise beseitigt werden. Im Rahmen der Notfallbereitschaft sind die individuellen Einsatzpläne der durch Patch- und Change-Management verwalteten Applikationen und ITSysteme zu berücksichtigen (siehe B 1.3 Notfallmanagement).

In Anbetracht der Tatsache, dass das Patch- und Change-Management zur technologischen Implementierung der Sicherheitsmaßnahmen in der Einrichtung beiträgt, sollten angemessene Systeme für die Redundanz und den Austausch von Systemen vorgesehen werden, um jedem nicht zu kompensierenden Versagen entgegenzuwirken.