Patch management: waarom en hoe

Zestig procent van alle succesvolle cyberaanvallen maakt gebruik van kwetsbaarheden waarvoor al een patch beschikbaar was op het moment van de aanval. Dit getal is ontluisterend: de benodigde oplossing bestond al, maar werd niet toegepast. Patch management is daarmee een van de meest impactvolle beveiligingsmaatregelen die een organisatie kan nemen — en tegelijkertijd een van de meest onderschatte. Wie dit proces structureel inricht, elimineert een groot deel van het aanvalsoppervlak.

Wat patch management inhoudt en waarom het faalt

Patch management is het gestructureerde proces van identificeren, beoordelen, testen en uitrollen van softwareupdates en beveiligingspatches. Het klinkt eenvoudig, maar in de praktijk loopt het regelmatig mis om een aantal herkenbare redenen:

Gebrek aan overzicht: Organisaties weten niet precies welke software en welke versies draaien in hun omgeving. Zonder volledig assetbeheer kun je geen patches uitrollen die je niet weet dat nodig zijn.

Angst voor verstoring: Patches kunnen compatibiliteitsproblemen veroorzaken. Zonder testprocedure worden updates uitgesteld totdat het “rustig” is — wat zelden het geval is.

Gefragmenteerde verantwoordelijkheid: In veel MKB-organisaties is onduidelijk wie verantwoordelijk is voor patching: de IT-afdeling, de leverancier of de eindgebruiker.

Prioritering ontbreekt: Niet elke patch is even kritiek. Zonder risicogebaseerde aanpak behandelt je een kritieke beveiligingspatch op dezelfde manier als een functionaliteitsupdate.

Patchcategorie	Prioriteit	Maximale doorlooptijd
Kritieke beveiligingspatch (CVSS 9–10)	Urgent	24–72 uur
Hoge ernst (CVSS 7–8,9)	Hoog	7 dagen
Gemiddelde ernst (CVSS 4–6,9)	Normaal	30 dagen
Lage ernst / functioneel	Laag	90 dagen

Een werkend patchproces in vier stappen

Een effectief patch managementproces volgt een vaste cyclus die herhaalbaar en aantoonbaar is. Dit zijn de vier kernstappen:

1. Inventarisatie: Breng alle hard- en software in kaart. Gebruik asset management tools zoals Lansweeper, Microsoft Endpoint Manager of een vergelijkbare oplossing. Zonder volledig overzicht is elke patchstrategie incompleet.

2. Beoordeling en prioritering: Monitor actief kwetsbaarheidsdatabases zoals de National Vulnerability Database (NVD) en de adviezen van je leveranciers. Beoordeel de ernst van elke kwetsbaarheid op basis van de CVSS-score en de context van je organisatie. Is het systeem extern bereikbaar? Bevat het gevoelige data?

3. Testen: Rol patches eerst uit in een testomgeving voor systemen die bedrijfskritisch zijn. Valideer dat kernprocessen blijven functioneren. Definieer een rollback-procedure voor het geval een patch problemen veroorzaakt in productie.

4. Uitrol en verificatie: Gebruik geautomatiseerde tooling voor grootschalige uitrol. Verifieer na uitrol dat patches daadwerkelijk zijn toegepast en documenteer dit aantoonbaar.

Tip van Control One: Stel een vast patchvenster in — bijvoorbeeld elke tweede dinsdag van de maand (“Patch Tuesday”) voor niet-urgente patches. Consistentie maakt het proces voorspelbaar voor je team en beperkt operationele verstoring.

Automatisering en tooling voor MKB

Voor veel MKB-organisaties voelt patch management als een arbeidsintensieve last. Automatisering neemt een groot deel van het werk over. Overweeg de volgende aanpak:

Microsoft Endpoint Configuration Manager / Intune: Voor Windows-omgevingen biedt Microsoft ingebouwde patchbeheermogelijkheden die breed inzetbaar zijn zonder hoge additionele kosten.

Patch My PC of NinjaRMM: Specifiek gericht op third-party applicaties die buiten de Windows Update-cyclus vallen, zoals Adobe, browsers en Java.

Vulnerability scanners: Tools als Tenable Nessus Essentials (gratis voor kleine omgevingen) of Qualys helpen bij het identificeren van ongepatchte systemen.

De investering in tooling verdient zichzelf terug in gereduceerde handmatige arbeid en — belangrijker — in gereduceerd risico. Automatisering elimineert ook de menselijke vergissing van “even vergeten.”

Patch management en ISO 27001

Voor organisaties die ISO 27001 nastreven of al gecertificeerd zijn, is patch management geen optionele maatregel. Annex A-beheersmaatregel 8.8 vereist het beheer van technische kwetsbaarheden. Een auditor verwacht een gedocumenteerd proces, aantoonbare uitvoering en meetbare doorlooptijden.

Vastlegging is essentieel: registreer welke patches zijn uitgerold, wanneer, op welke systemen en door wie. Bij een incident of een audit vormt deze documentatie het bewijs dat je organisatie haar verantwoordelijkheid serieus neemt. Koppel je patchproces aan je risicobeheerframework zodat uitzonderingen — systemen die niet gepatcht kunnen worden — bewust worden geaccepteerd en gecompenseerd met alternatieve maatregelen.

Veelgestelde vragen

Wat als een systeem niet gepatcht kan worden vanwege legacy-software? Accepteer het risico formeel, isoleer het systeem van de rest van het netwerk (netwerksegmentatie) en verhoog de monitoring. Documenteer de compenserende maatregel.

Hoe snel moet ik een kritieke patch uitrollen? Kritieke patches (CVSS 9–10) dienen binnen 24 tot 72 uur uitgerold te zijn. Voor actief geëxploiteerde kwetsbaarheden geldt: zo snel mogelijk, ook buiten het standaard patchvenster.

Wie is verantwoordelijk voor patch management in een MKB? Leg de verantwoordelijkheid formeel vast, bij voorkeur bij de IT-verantwoordelijke of een externe managed service provider. Onduidelijke verantwoordelijkheid leidt altijd tot vertragingen.

Geldt patch management ook voor clouddiensten? Voor SaaS-diensten is de leverancier verantwoordelijk. Voor IaaS/PaaS bent je zelf verantwoordelijk voor het patchen van je besturingssystemen en applicaties. Maak dit onderscheid expliciet in je beleid.

Hoe meet ik of mijn patchproces effectief is? Meet de gemiddelde tijd tussen beschikbaarheid van een patch en uitrol (Mean Time to Patch), het percentage systemen dat up-to-date is en het aantal openstaande kritieke kwetsbaarheden.

---

Wil je je patch managementproces laten beoordelen of aansluiten op een ISO 27001-traject? Bekijk onze diensten op de prijzenpagina en ontdek hoe Control One je helpt van kwetsbaar naar aantoonbaar weerbaar.