Microsoft julkaisi juuri historiallisen tietoturvapäivityksen – lähes tuhat haavoittuvuutta korjattiin yhdellä kertaa. Mutta määrä ei ole se pelottavin osuus. Kaksi aukkoa, joita hyökkääjät käyttivät jo aktiivisesti hyväkseen, ei ollut edes merkitty kriittisiksi.
Tässä tulee pointti: oikea ongelma ei ole ne paikkaukset, jotka sinun pitää tehdä. Se on ne, joista et edes tiedä, että ne pitäisi tehdä.
Sanon sinulle yhden luvun: 974. Näin monta tietoturva-aukkoa Microsoft korjasi yhtenä päivänä viime syyskuussa. Yli sata niistä merkittiin kriittisiksi. Yritys on korjannut jo yli 2700 haavoittuvuutta vuonna 2026, ja vuodesta on jäljellä vielä kolme kuukautta.
Mutta se mistä minä oikeasti huolestun on tämä: kaksi tuon syyskuun haavoittuvuutta oli jo aktiivisesti hyväksikäytössä ennen kuin korjauksia edes oli olemassa. Ja osuipa hyvin, kumpaakaan ei ollut merkitty "kriittiseksi". Molemmat olivat vain "tärkeitä".
Toinen piileskeli Windows Update Stackissa. Toinen istui jossakin nimeltä Advanced Local Procedure Call. Kumpikin antoi jo koneellesi päässeelle hyökkääjälle mahdollisuuden muuttua täysivaltaiseksi adminiksi. Jos siis luotit Microsoftin vakavuusluokitukseen prioriteettien määrittämisessä, olisit todennäköisesti ohittanut molemmat.
Mikä on siis todellinen opetus? Kyse ei ole siitä, pystytkö omaksumaan tuhat korjausta kuukaudessa. Useimmat pienet yritykset eivät pysty – ollaan rehellisiä. Oikea kysymys on paljon yksinkertaisempi ja paljon vaikeampi: Tiedätkö edes mitä sinulla on?
Tässä on jotain mikä yllätti minut kun kuulin tästä trendistä ensimmäistä kertaa. Ohjelmistot eivät ole tulleet huonommiksi. Nämä bugit eivät ole yhtäkkiä ilmestyneet koska kehittäjät ovat laiskistuneet. Monet niistä ovat istuneet koodissa vuosia – osa vuosikymmeniä.
Mikä muuttui? Tekoäly.
Microsoft, Google, Adobe, Cisco, Mozilla ja Oracle käyttävät kaikki tekoälytyökaluja skannaamaan miljoonia rivejä koodia tietoturva-aukojen varalta. Ja ne löytävät niitä tahtiin johon ihmistutkijat eivät koskaan pystyisi. Pelkän Googlen tekoälyputki korjasi yli tuhat tietoturvaongelmaa kahdessa Chrome-julkaisussa – enemmän kuin edeltävät kaksi vuotta yhteensä.
Dustin Childs Zero Day Initiativesta kutsuu tätä "uudeksi normaaliksi", ja rehellisesti sanottuna olen samaa mieltä. Älä odota näiden lukujen palaavan siihen mitä pidimme normaalina vielä muutama vuosi sitten.
Onko tämä huono uutinen? Enimmäkseen ei. Se että hyvät tyypit löytävät ja korjaavat enemmän reikiä on voitto. Korjausten tulva ei ole vielä vastattu hyökkäysten tulvalla. Mutta tässä on juju: kun jokin kuitenkin weaponisoidaan, aikaikkuna haavoittuvuuden julkistamisesta hyökkääjien hyödyntämiseen käynnistymiseen lyhenee koko ajan. Ennen tuo ikkuna antoi sinulle aikaa korjata. Nyt se tuskin antaa aikaa kahvikupillisen juomiseen.
Maalaan sinulle kuvan. On korjauksellinen tiistai (tai mikä päivä Microsoft nyt päättää kuukausittaisen korjauspakettinsa julkaista). Avaat hallintakonsolin ja näet 50 päivitystä odottamassa. Ehkä 100. Ehkä enemmän. Mikä on strategiasi?
Jos olet kuten useimmat pienet yritykset, aloitat todennäköisesti kriittisistä, jatkat listalla alaspäin ja toivot parasta. Ehkä laitat kaiken automaattipäivitykselle ja katsot asian olevan selvä.
Tässä lähestymistavassa on ongelma: kriittinen ei tarkoita "varmasti satuttaa sinua" ja tärkeä ei tarkoita "ei väliä".
DNS-heikkous Windows Serverissä on tuhoisa jos ajatat Windows Serveriä. Se on täysin irrelevantti jos et ajata. Mutta jos et tiedä ajatko lainkaan Windows Servereitä – ja rehellisesti, kuinka moni pienen yrityksen omistaja osaa vastata siihen tarkistamatta – pelaat käytännössä tietoturvaa silmät sidottuina.
Useimmat pienet yritykset joille puhun eivät pidä luotettavaa inventaariota siitä mitä heillä oikeasti on. Kuinka monta kannettavaa tietokonetta on käytössä? Mitkä niistä saavat vielä tietoturvapäivityksiä ja mitkä pyörittävät käyttöjärjestelmiä joita ei ole tuettu vuoden 2017 jälkeen? Mitä palvelinohjelmistoa pyörii, ja koska sitä on viimeksi koskettu? Onko jossain vanhoja älypuhelimia joilla on pääsy yrityksen sähköpostiin?
Kun korjausmäärät olivat maltillisia, summittainen kattavuus oli selviytymiskelpoista. Pärjäsi arvailulla koska luvut olivat tarpeeksi pieniä että yleisesti ajan tasalla oleminen oli lähellä oikeasti ajan tasalla olemista.
Tuhannella korjauksella kuukaudessa arvailu lakkaa toimimasta. Et voi triagoida heinäseppelää jota et ole koskaan mitannut.
Tässä on tämän koko sekasotkun epäseksikäs ratkaisu: tee lista.
Tiedän, tiedän. Se ei ole juuri sellainen kuin kuvittelisi kyberturvallisuuden super sankarintakki. Mutta kuuntele.
Laiteinvetaario kuulostaa tylsältä kunnes tajuat mitä se tekee sinulle. Se muuttaa hallitsemattoman luvun (974 korjausta tällä kuukaudella!) pieneksi (kolme korjausta jotka koskevat sinun oikeaa kokoonpanoa). Se tekee jokaisesta muusta tietoturvapäätöksestä halvemman koska et enää arvaile.
Et tarvitse tähän hienoa työkalua. Aloita yksinkertaisesti. Mitä laitteita yhdistyy verkkoosi? Mitä ohjelmistoja niillä pyörii? Mitä oikeasti käytetään versus mikä vain asennettiin ja unohdettiin? Kun sanon "yksinkertaista", tarkoitan sitä. Taulukkolaskenta toimii. Dokumentoitu kävelylenkki toimistolla toimii. Tärkeintä on että sinä oikeasti teet sen, ja että päivität sitä kun jotain muuttuu.
Yritykset jotka tulevat selviämään tästä uudesta todellisuudesta eivät ole niitä jotka korjaavat nopeimmin. Ne ovat niitä jotka osaavat vastata peruskysymykseen: Mitä me pyöritämme, ja missä se on?
Tässä on jotain jota lyön vetoa ett ole ajatellut: tekoälyavustajasi ovat ohjelmistoja. Ohjelmistoissa on puutteita. Puutteita voi hyödyntää.
Ajattele mitä jotkut näistä työkaluista pääsevät käsiksi. Copilot jolla on pääsy postilaatikkoosi, tiedostoihisi, asiakastietokantaasi – se on täysin erilainen riskiprofiili kuin taulukkolaskentaohjelma. Nämä työkalut voivat lukea sähköpostejasi, laatia vastauksia puolestasi, ja yhä enenevissä määrin tehdä toimenpiteitä löytämiensä perusteella.
Pienet yritykset ovat omaksuneet tekoälytyökalut melkein orgaanisesti. Joku asentoi hyödyllisen selainlaajennuksen. Joku yhdisti kokousmuistilistan yhtiön kalenteriin. Joku antoi avustajalle pääsyn yhteiseen levyasemaan säästääkseen iltapäivän työn.
Jokainen noista päätöksistä oli täydellisen järkevä sen hetken tilanteessa.
Se mikä jäi jälkeen oli mikään dokumentti siitä että näin tapahtui. Kysy useimmilta yritysten omistajilta mitä tekoälytyökaluja heidän yhtiössään on käytössä ja mihin tietoihin nuo työkalut oikeasti pääsevät – ja saat harkitun hiljaisuuden.
Se on varjo-AI, ja se on näkyvyysraukeus jossa lukee sinun nimesi.
Ratkaisu ei ole panikoida ja kieltää tekoälytyökalut – osa niistä on aidosti hyödyllisiä, ja kilpailijasi todennäköisesti käyttävät niitä joka tapauksessa. Ratkaisu on lisätä ne tuohon tylsään taulukkoon jonka mainitsimme. Mitkä työkalut on yhdistetty mihinkin? Mitä ne näkevät?
Tiivistän tämän kaiken joksikin käytännölliseksi.
Korjausten tulva ei ole lakkaamassa. Tekoälyavusteinen haavoittuvuuksien löytäminen on täällä jäädäkseen, ja se on enimmäkseen hyvä uutinen – enemmän reikiä suljetaan kuin koskaan ennen. Mutta se muuttaa peliä siinä miten pienten yritysten täytyy lähestyä tietoturvaa.
Et voi korjata tiensä läpi tämän määrällä. Et voi lukea jokaista tietoturvabullettinia ja tehdä järkeviä päätöksiä niistä kaikista. Päivässä ei ole tarpeeksi tunteja, ja rehellisesti sanottuna useimmat meistä eivät ole tietoturvatutkijoita.
Mitä sinä voit tehdä on ottaa vakavasti se että tiedät mitä omistat. Rakenna laiteinvetaario. Sen ei tarvitse olla hienoa. Sen vain täytyy olla olemassa.
Kun tiedät mitä pyörität, yhtäkkiä tuo korjausten tulva muuttuu paljon hallittavammaksi purkiksi. Voit ohittaa haavoittuvuudet jotka eivät koske sinua ja oikeasti keskittyä niihin jotka koskevat.
Et voi korjata sitä mitä et näe. Se on vanhin neuvo kyberturvallisuudessa, ja jotenkin se ei ole koskaan ollut ajankohtaisempi kuin juuri nyt.
Heinäseppeleet kasvavat. Se tarkoittaa että panokset neulojesi sijainnin tietämiselle eivät ole koskaan olleet korkeammat.
Tagit: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']