大多數(shù)軟件由軟件供應(yīng)商定期更新（例如微軟所謂的周二補丁日）或者在需要修復(fù)軟件時進行更新。在本文中，我們將探討自動補丁管理工具的適用場景。
對于軟件漏洞來說，是否修復(fù)并不是問題，畢竟企業(yè)必須保持其計算機軟件更新了相應(yīng)的補丁。事實上，對于上市公司，定期修復(fù)軟件可能是法律要求，例如薩班斯-奧克斯利法案（SOX）、美國民事訴訟法（FRCP）和健康保險流通與責(zé)任法案（HIPAA）等。很多這些政府法規(guī)包含實質(zhì)的經(jīng)濟處罰，甚至還會對不遵守法規(guī)要求的上市公司的CEO和CFO進行刑事指控。
在世界上大多數(shù)國家，還有類似的金融、醫(yī)療和企業(yè)法規(guī)，因此，補丁管理應(yīng)該是每個企業(yè)的優(yōu)先事項。然而，是否應(yīng)該部署自動補丁管理受若干因素影響，有些取決于特定的企業(yè)，有些則涉及到IT整體職能。
修復(fù)過程
根據(jù)企業(yè)規(guī)模的不同，以及企業(yè)對IT預(yù)期和/或賦予IT的職責(zé)的不同，補丁管理可能被認為是信息技術(shù)專業(yè)人員的主要工作。在大多數(shù)企業(yè)，IT負責(zé)計算基礎(chǔ)設(shè)施，包括服務(wù)器、負載均衡器、存儲陣列、設(shè)備、網(wǎng)絡(luò)設(shè)備等。顯然，IT必須始終負責(zé)對這些基礎(chǔ)設(shè)施服務(wù)器和設(shè)備進行即時修復(fù)。IT應(yīng)該確保創(chuàng)建一個沙盒環(huán)境，在新補丁發(fā)布時對補丁進行測試，再分發(fā)到服務(wù)器和其他設(shè)備。
除了保持基礎(chǔ)設(shè)施打補丁和及時更新，IT還必須制定和分發(fā)修復(fù)過程以保持最終用戶計算機的更新。下面是最終用戶部署補丁管理的兩種流程：
1. 針對全體員工定義和分發(fā)書面流程，以保持其臺式機或筆記本電腦保持更新，以及其本地安裝的應(yīng)用。
2. 部署自動補丁管理系統(tǒng)，讓IT嚴格控制什么時候發(fā)布哪些補丁。
如果企業(yè)信任員工可以確保其自己的計算機保持更新，最好偶爾保存用戶代表性樣本，以確保他們遵守企業(yè)補丁管理政策。要注意的是，如果涉及到政府和公司合規(guī)要求，讓員工管理自己的操作系統(tǒng)和應(yīng)用修復(fù)可能讓企業(yè)面臨法律責(zé)任。在企業(yè)分析是使用自合規(guī)還是自動工具進行補丁管理時，應(yīng)該要考慮如果其修復(fù)工作未能遵守政府和合規(guī)要求而涉及的潛在財務(wù)影響。
另外，如果企業(yè)有軟件庫存工具（例如微軟System Center Configuration Manager或賽門鐵克端點管理），那么，底層庫存基礎(chǔ)設(shè)施已經(jīng)部署到位，則可執(zhí)行對軟件許可證和補丁水平的定期審計。當(dāng)庫存審計表明最終用戶應(yīng)用過時，補丁管理軟件可用來確保遵守補丁指南或要求。
雖然部署全面的補丁管理基礎(chǔ)設(shè)施需要巨大的成本，但對于處在嚴格監(jiān)管行業(yè)的企業(yè)來說，自動補丁管理的好處可能遠遠超過成本。下面讓我們來看看自動補丁管理的潛在用例。
用例1
自動補丁管理過程的第一個企業(yè)用例通常適合員工總?cè)藬?shù)加上服務(wù)器總數(shù)約為50的企業(yè)。在這些企業(yè)，IT不能冒風(fēng)險依靠員工通過手動修復(fù)來保持其操作系統(tǒng)和本地安裝應(yīng)用的更新。
此外，手動修復(fù)服務(wù)器是非常耗時的過程?？焖俪杀拘б娣治霰砻?，IT沒有辦法花時間為服務(wù)器和其他基礎(chǔ)設(shè)施設(shè)備手動安裝補丁，因為他們的基礎(chǔ)設(shè)施環(huán)境有超過10到15臺服務(wù)器或其他可修復(fù)設(shè)備。
企業(yè)還應(yīng)該對修復(fù)最終用戶計算機進行類似的成本效益分析。很多企業(yè)利用庫存軟件來生成報告，以展示最終用戶計算機和服務(wù)器安裝了哪些操作系統(tǒng)和應(yīng)用，以及所有已安裝軟件的版本和修復(fù)水平。這些報告還可以幫助小型IT部門監(jiān)控最終用戶保持其修復(fù)水平的情況。
除了規(guī)模較大的企業(yè)，自動補丁管理工具也非常適合小型企業(yè)，因為這些企業(yè)無法依靠最終用戶修復(fù)補丁，這很容易讓公司面臨惡意軟件威脅和潛在的法律方面的后果。
用例2
自動補丁管理的第二個企業(yè)用例非常適用于受聯(lián)邦法規(guī)和法案（例如SOX、FRCP和HIPAA）監(jiān)管的上市公司。在這種情況下，持續(xù)的補丁管理可能是法定要求，如果違反這些規(guī)定，CEO和CFO可能面臨刑事和民事處罰。
除了滿足監(jiān)管要求，修復(fù)可能是企業(yè)必要的流程，以保護企業(yè)免受潛在的法律訴訟，這些訴訟可能來自客戶、供應(yīng)商以及因企業(yè)網(wǎng)絡(luò)中修復(fù)相關(guān)問題而遭受財務(wù)損失的其他人。如果企業(yè)未能保持其計算機和其他設(shè)備安裝最新推薦的補丁，企業(yè)可能面臨來自客戶、合作伙伴和其他相關(guān)方的法律訴訟。例如，如果惡意軟件通過已經(jīng)發(fā)布補丁的漏洞進入企業(yè)的IT基礎(chǔ)設(shè)施，并且，如果惡意軟件導(dǎo)致個人身份信息（PII）意外或有目的泄露，那么，企業(yè)可能面臨巨大而持續(xù)的民事責(zé)任。
企業(yè)在考慮自動補丁管理工具的成本外，還需要注意的是當(dāng)上市公司沒有可核實、可重復(fù)自動補丁管理流程而可能帶來的風(fēng)險。根據(jù)企業(yè)特定運營環(huán)境和政府合規(guī)要求的不同，當(dāng)修復(fù)相關(guān)的事故給企業(yè)利益相關(guān)者造成損害時，企業(yè)可能要花費大量的時間、金錢，并且，客戶信譽都會岌岌可危。這就是說，與防止企業(yè)因缺乏補丁管理受到的法律和監(jiān)管行動的成本相比，部署自動補丁管理工具的成本通常相對更少。
版權(quán)聲明：本文內(nèi)容由互聯(lián)網(wǎng)用戶自發(fā)貢獻，該文觀點僅代表作者本人。本站僅提供信息存儲空間服務(wù)，不擁有所有權(quán)，不承擔(dān)相關(guān)法律責(zé)任。如發(fā)現(xiàn)本站有涉嫌抄襲侵權(quán)/違法違規(guī)的內(nèi)容， 請發(fā)送郵件至 舉報，一經(jīng)查實，本站將立刻刪除。