Nogle fund kan ikke rettes med det samme, fordi leverandøren ikke har en opdatering, systemet ikke kan undværes, eller rettelsen er et projekt, der tager måneder. I mellemtiden står svagheden åben, medmindre IT gør noget andet. En midlertidig afhjælpning er et tiltag, der gør fundet sværere at udnytte eller lettere at opdage, uden at fjerne årsagen. Den hviler på to betingelser: den skal faktisk dæmpe den risiko, rapporten beskriver, og den skal have en slutdato, der er knyttet til den egentlige rettelse.
Hvad en afhjælpning er, og hvad den ikke er
Den amerikanske standardorganisation NIST beskriver i sin vejledning om patchstyring fire måder at reagere på en sårbarhed: at acceptere risikoen, at mindske den, at overføre den til en anden part eller at undgå den ved at fjerne det sårbare. At mindske risikoen kan ske ved at fjerne svagheden, men også ved at tilføje andre sikringer, fx afskærmning og opdeling af nettet, så færre kan nå det sårbare system.
En midlertidig afhjælpning hører til den sidste slags. Den ændrer, hvem der kan nå svagheden, eller hvor hurtigt et misbrug bliver opdaget. Svagheden findes stadig. Det er forskellen fra en rettelse, og det skal fremgå af alt, hvad der skrives om fundet.
Typer af midlertidige tiltag
Hvilket tiltag der passer, afhænger af fundet. Her er de typer, der kan komme på tale, beskrevet som principper.
- Afskærmning · systemet kan kun nås fra de net eller maskiner, der har brug for det. → Segmentering i dybden
- Færre adgange · konti og grupper med adgang til det sårbare system skæres ned til dem, der skal bruge det.
- Slå en funktion fra · den del af systemet, fundet handler om, lukkes, hvis forretningen kan undvære den en periode.
- Skærpet overvågning · hændelser på systemet følges tættere, så forsøg på misbrug opdages og undersøges. → Fund om logning og overvågning
- Ekstra login-krav · adgang til systemet kræver tofaktor eller sker kun gennem en bestemt adgangsvej.
Et enkelt tiltag dækker ikke nødvendigvis hele risikoen. To tiltag, der virker på hver sin måde, fx afskærmning og overvågning, giver et bedre billede end ét.
Vælg tiltag ud fra fundet
Læs fundet igen, før I vælger. Hvad beskriver rapporten som forudsætning for at udnytte svagheden? Kræver det adgang fra internettet, fra brugernes net eller med en bestemt konto? Svaret peger på, hvor tiltaget skal sættes ind.
Et fund, der kan nås fra internettet, dæmpes bedst ved at fjerne den adgang. Et fund, der kræver en konto med særlige rettigheder, dæmpes ved at begrænse, hvem der har dem. Et tiltag, der ikke rammer forudsætningen, giver en følelse af handling, men ændrer ikke risikoen. Spørg testeren, hvis det er uklart, hvilke betingelser fundet bygger på.
Et tænkt eksempel: rapporten beskriver en webbaseret administrationsflade på et lagersystem, som kan nås fra hele kontornettet, og som kører en udgave med en kendt svaghed. Leverandøren har endnu ikke en ny udgave. Afskærmningen kan bestå i, at fladen kun kan nås fra driftsnettet. Overvågningen kan følge login på fladen. Den egentlige rettelse er den nye udgave, når den kommer, og den får sin egen opgave med en dato for opfølgning hos leverandøren.
Sæt en slutdato og knyt den til rettelsen
Vejledningen om patchstyring anbefaler, at midlertidige tiltag erstattes af en permanent løsning, og at der sættes og håndhæves tidsplaner både for at gennemføre rettelsen og for at fjerne tiltaget igen. Det er den del, der glider, når driften har travlt.
Registrér hver afhjælpning med de oplysninger, der skal til for at styre den.
- Fund · hvilket fund afhjælpningen dækker.
- Tiltag · hvad der er gjort, og i hvilke systemer.
- Ejer · hvem der har ansvaret for tiltaget og for den egentlige rettelse.
- Slutdato · hvornår tiltaget skal være erstattet af en rettelse.
- Ny vurdering · hvornår det skal vurderes, om tiltaget stadig er tilstrækkeligt.
Hold den midlertidige og den permanente opgave adskilt i sagssystemet. Hvis afhjælpningen lukker fundet, forsvinder rettelsen. → Fra fund til opgave
Fortæl dem, der mærker tiltaget
En afhjælpning kan ændre hverdagen for nogen. En funktion, der er slået fra, eller en adgangsvej, der er lukket, giver henvendelser til servicedesken, hvis ingen har fået besked. Fortæl de berørte, hvad der er ændret, at det er midlertidigt, og hvem de skal kontakte, hvis arbejdet går i stå. Beskriv ikke svagheden i detaljer i den besked. Det er nok at sige, at ændringen er en sikkerhedsforanstaltning.
Hvis der kommer krav om en undtagelse fra tiltaget, behandles den som enhver anden ændring med ejer og begrundelse. En undtagelse, der gives mundtligt, kan tømme tiltaget for virkning.
Når slutdatoen ikke kan holdes
Nogle systemer kan ikke rettes inden for en overskuelig tid. Det gælder fx systemer, hvor producenten har stoppet opdateringerne. Så er tiltaget ikke længere midlertidigt, og det skal behandles som en varig beskyttelse med sin egen plan og en fast gennemgang. Samme vejledning anbefaler, at alle undtagelser fra de normale planer følges tæt og gennemgås jævnligt, så det løbende vurderes, om den almindelige plan kan bruges nu. → Et system, der ikke kan opdateres
Beslutningen om at leve med et fund i længere tid ligger ikke hos IT alene. NCSC skriver i sin vejledning om sårbarhedsstyring, at organisationen skal eje risikoen ved ikke at opdatere, og at beslutningen om det er en risikobeslutning på højt niveau. IT’s opgave er at give ledelsen et klart grundlag: hvad tiltaget dækker, hvad det ikke dækker, og hvad den egentlige rettelse vil kræve. → Servere og styresystemer uden support
Det skal I lade være med
- At kalde en afhjælpning en rettelse. Svagheden er der stadig.
- At vælge tiltag uden at læse fundets forudsætninger. Så rammer I måske ved siden af.
- At oprette tiltag uden slutdato. Midlertidigt bliver permanent af sig selv.
- At glemme at fjerne tiltaget, når rettelsen er på plads. Gamle undtagelser og regler gør miljøet sværere at overskue.
- At lade IT bære risikoen alene. Lange afhjælpninger kræver en beslutning fra ledelsen.
Hvad kan og ikke kan konkluderes
En afhjælpning, der er på plads, viser, at I har handlet på fundet og gjort det sværere at udnytte. Den viser ikke, at fundet er væk, og den kan ikke vise, at tiltaget holder mod alle veje til svagheden. Hvis rapporten skal opdateres med afhjælpningen, er det en ny kontrol af tiltaget, ikke en kontrol af en rettelse. En senere retest vil som udgangspunkt stadig se svagheden, hvis den kan nås fra testerens udgangspunkt.
Tjekliste til midlertidige afhjælpninger
- ☐ Er det klart, hvilke forudsætninger fundet bygger på?
- ☐ Rammer tiltaget netop de forudsætninger?
- ☐ Er der mere end ét tiltag, hvor fundet er alvorligt?
- ☐ Har tiltaget en ejer og en slutdato?
- ☐ Står den egentlige rettelse som sin egen opgave?
- ☐ Er det aftalt, hvornår tiltaget vurderes igen?
- ☐ Er ledelsen inddraget, hvis tiltaget skal stå længe?
Kilder
- NIST SP 800-40 Rev. 4, afsnit 2.1 og 3.5: fire typer reaktion på risiko (accept, mindske, overføre, undgå), midlertidige tiltag skal erstattes af permanente rettelser, og der skal sættes tidsplaner for både rettelse og fjernelse af tiltaget; undtagelser fra planerne følges og gennemgås jævnligt.
- NCSC: Vulnerability management: organisationen skal eje risikoen ved ikke at opdatere, og beslutningen er en risikobeslutning på højt niveau.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Hurtige rettelser og større projekter · Fremdrift på rettelserne
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
