Em meio às transformações recentes do cenário de ameaças digitais, a gestão de patches é o processo que Rolando Bonaccorsi, Diretor de Operações da Vert Analytics, ressalta como um problema de operação antes de ser um problema de segurança. A área de segurança aponta a correção necessária, e quem decide o momento de aplicar precisa equilibrar risco de invasão com risco de indisponibilidade do serviço.
O adiamento de uma atualização quase nunca acontece por descaso técnico da equipe. Ele acontece porque atualizar exige parada, teste e disponibilidade de gente, três recursos escassos em qualquer operação com agenda cheia e equipe enxuta. Sem janela definida no calendário, a correção fica aguardando um momento tranquilo que raramente chega durante o ano de trabalho.
Por que a atualização fica para depois?
Cada atualização carrega algum grau de incerteza sobre o comportamento posterior do ambiente. Um sistema legado com integrações antigas pode quebrar logo depois de uma correção aparentemente simples e bem documentada, e a equipe que viveu uma experiência dessas passa a tratar qualquer pacote novo com desconfiança compreensível, mesmo quando o pacote resolve uma falha grave e conhecida. Na prática, a memória do incidente antigo pesa mais na decisão do que o boletim de segurança recém-publicado.
Existe também o problema da propriedade do ativo dentro da empresa. Um servidor compartilhado por várias aplicações raramente tem dono único, de forma que ninguém se sente autorizado a aprovar a parada. Na interpretação de Rolando Bonaccorsi, a ausência de um responsável pelo ativo atrasa mais a atualização do que qualquer limitação técnica do ambiente.
Como montar a janela de atualização?
Uma janela previsível resolve metade do problema, porque transforma a parada em evento esperado por todos os envolvidos. Definir dia, horário e duração com antecedência de meses permite que as áreas de negócio se organizem, e a comunicação prévia reduz bastante a resistência que aparece em paradas improvisadas. A previsibilidade vale mais que a velocidade nesse tipo de processo, porque a janela passa a existir no calendário de todos.
A janela precisa vir acompanhada de um procedimento de retorno bem documentado. Saber como desfazer a atualização, em quanto tempo isso é possível e com qual critério de decisão dá segurança para aplicar a correção na data combinada. Conforme informa Rolando Bonaccorsi, o plano de reversão testado é o que torna a janela realmente utilizável pela equipe.
Risco de atualizar e risco de não atualizar
A comparação entre os dois riscos costuma ser feita de forma desequilibrada. O risco de atualizar é concreto, imediato e tem nome e sobrenome, porque alguém será chamado se o sistema cair naquela noite. Em contrapartida, o risco de não atualizar é abstrato, distante e difuso, por isso tende a perder a disputa quando a decisão é tomada no improviso de uma reunião apressada.
Classificar cada pacote de correção por exposição real reequilibra a conversa entre as duas áreas. Uma vulnerabilidade em serviço exposto à internet, com exploração conhecida em circulação, pertence a uma categoria de urgência bem diferente da falha interna sem impacto prático. Rolando Bonaccorsi adverte sobre o tratamento uniforme de todos os pacotes de correção, já que a fila sem critério faz o item crítico esperar junto com o puramente cosmético.
Quem decide o adiamento?
A decisão de adiar precisa ser registrada em algum lugar, com nome do responsável, prazo e motivo técnico. Sem esse registro, o adiamento se torna permanente por pura inércia, e a responsabilidade se dissolve entre áreas que acreditam que alguém mais estava cuidando daquele servidor específico desde o começo do ano. Ninguém mente nessa conta, apenas supõe que outra pessoa já resolveu o assunto.
Um comitê simples com segurança, infraestrutura e negócio resolve bem a maior parte desses casos. A reunião é curta, trata apenas das exceções e produz decisão datada com responsável definido. Rolando Bonaccorsi evidencia o registro de aceitação de risco como proteção da empresa e também das pessoas envolvidas naquela escolha difícil de priorização.
