Il patch management è il processo con cui un’organizzazione identifica, valuta, testa, distribuisce e verifica gli aggiornamenti di sicurezza su sistemi operativi, applicazioni, server, endpoint e componenti infrastrutturali. Non coincide con “fare Windows Update”: è una disciplina di gestione del rischio che collega inventario degli asset, vulnerabilità, criticità del business, change management e continuità operativa.
NIST SP 800-40 Rev.4 descrive il patch management come manutenzione preventiva della tecnologia. ENISA, nelle indicazioni tecniche NIS2, richiede procedure coerenti con vulnerability management e change management, patch da fonti affidabili, test prima della produzione e tempi di applicazione ragionevoli in base al rischio.
Cos’è una patch
Una patch è un aggiornamento rilasciato per correggere vulnerabilità, errori o problemi di funzionamento. Può interessare sistemi operativi, browser, suite office, software di terze parti, firmware, hypervisor, appliance e componenti applicativi. Non tutte le patch hanno lo stesso impatto e non tutte richiedono la stessa urgenza.
Perché il patch management è una misura di sicurezza
Una vulnerabilità nota e non corretta riduce il costo dell’attacco: l’avversario può utilizzare exploit pubblici, tool automatizzati o tecniche già documentate. ENISA evidenzia che i sistemi non aggiornati continuano a rappresentare una superficie di attacco significativa e che vulnerability e patch management restano tra le aree più impegnative nell’implementazione NIS2.
- Riduce la finestra di esposizione tra disponibilità della correzione e sua installazione.
- Limita l’exploitability di vulnerabilità note su asset esposti o critici.
- Riduce la dipendenza da controlli compensativi temporanei.
- Fornisce evidenze misurabili per audit, governance e compliance.
Patch management e vulnerability management: differenza
Il vulnerability management identifica e prioritizza le debolezze; il patch management è uno dei principali meccanismi di remediation. Non tutte le vulnerabilità hanno una patch e non tutte le patch risolvono una vulnerabilità critica. I due processi devono quindi condividere asset inventory, priorità, ownership e SLA.
Il ciclo di patch management in 8 fasi
- Inventario: sapere quali asset, sistemi, versioni e applicazioni esistono.
- Raccolta intelligence: monitorare vendor advisory, CSIRT, CVE, CISA KEV ed exploitability.
- Prioritizzazione: combinare severità, esposizione, criticità dell’asset e probabilità di sfruttamento.
- Test: validare patch e dipendenze su un ring pilota o ambiente rappresentativo.
- Pianificazione: definire finestra di manutenzione, comunicazioni, backup/rollback e responsabilità.
- Deployment: distribuire per ring progressivi, con automazione e controllo dei riavvii.
- Verifica: controllare installazione, compliance e assenza di failure.
- Reporting e miglioramento: misurare SLA, eccezioni, backlog e cause dei ritardi.
Prioritizzare le patch in base al rischio
Il CVSS da solo non è sufficiente. La priorità deve considerare se la vulnerabilità è sfruttata attivamente, se l’asset è esposto a Internet, il ruolo dell’asset, la disponibilità di exploit, i privilegi richiesti e l’impatto sul business.
- P0/Emergenza: vulnerabilità sfruttata attivamente su asset esposto o critico.
- P1/Alta: vulnerabilità critica con exploit plausibile o percorso di attacco rilevante.
- P2/Ordinaria: aggiornamenti di sicurezza senza exploit attivo e con rischio gestibile.
- Eccezione: patch non applicabile per vincoli tecnici; richiede controllo compensativo e accettazione del rischio.
SLA: evitare numeri universali |
Il patching è ancora manuale o difficile da misurare?
Centralizza inventario, patch OS e applicazioni, ring di rilascio e compliance con un progetto Endpoint Management strutturato.
Scopri Endpoint ManagementTest e deployment a ring
Il test non deve diventare un alibi per ritardare indefinitamente le patch. Un modello efficace usa ring progressivi: pilot, early adopters, produzione generale. Per vulnerabilità attivamente sfruttate il processo può essere accelerato, mantenendo comunque backup, rollback e verifica minima di compatibilità.
Patch management per applicazioni di terze parti
Un processo limitato al sistema operativo lascia scoperti browser, PDF reader, runtime, utility, software di collaborazione e applicazioni business. Le piattaforme moderne di endpoint management e patching centralizzato devono quindi coprire, dove possibile, anche software di terze parti e sistemi distribuiti fuori dalla rete aziendale.
Per il controllo centralizzato degli endpoint: Endpoint Management e UEM Nexsys
WSUS nel 2026: cosa cambia
Microsoft ha deprecato WSUS, ma il prodotto continua a essere disponibile e supportato nei sistemi correnti. La deprecazione non significa spegnimento immediato: significa che le organizzazioni devono pianificare l’evoluzione verso strumenti più adatti a endpoint remoti, multi-platform e applicazioni di terze parti.
Approfondimento dedicato: Fine di WSUS: come muoversi e quali sono le alternative
Patch management e NIS2
La gestione delle vulnerabilità e delle patch è parte delle misure di cybersecurity richieste nel quadro NIS2. La guidance ENISA prevede procedure coordinate con change e vulnerability management, test prima della produzione, verifica dell’integrità e provenienza delle patch, misure compensative quando una patch non è disponibile o non può essere applicata e una prioritizzazione basata sul rischio.
Per il quadro generale: NIS2 nel 2026: obblighi e scadenze per le PMI italiane
KPI utili per misurare il patch management
- Percentuale di asset inventariati e coperti dalla piattaforma di patching.
- Patch compliance per sistema operativo e applicazioni.
- Mean Time to Remediate per criticità.
- Numero di vulnerabilità critiche oltre SLA.
- Failure rate delle distribuzioni e cause principali.
- Numero e durata delle eccezioni approvate.
- Copertura degli asset Internet-facing e dei sistemi critici.
Errori comuni nel patch management
- Gestire solo Windows e ignorare software di terze parti.
- Non avere un inventario affidabile.
- Applicare la stessa priorità a tutte le patch.
- Ritardare patch critiche per assenza di un processo di emergenza.
- Distribuire senza rollback, backup o ring pilota.
- Non verificare l’effettiva installazione dopo il deployment.
- Lasciare eccezioni senza scadenza o compensating controls.
Automazione del patch management
L’automazione serve a ridurre attività manuali e tempi di remediation, ma non elimina la governance. Policy, ring, manutenzione, eccezioni e reporting devono essere progettati. Strumenti come Action1, Automox, Azure Update Manager o piattaforme UEM rispondono a requisiti differenti; questa pagina non deve diventare una comparativa vendor.
Patch management gestito e Endpoint Management
Nexsys progetta e gestisce processi di Endpoint Management e patching centralizzato con inventario, policy, ring di distribuzione, aggiornamenti OS e applicazioni, compliance e reporting. L’obiettivo è trasformare il patching da attività reattiva a processo misurabile e governato. |
FAQ sul patch management
Cos’è il patch management?
È il processo con cui un’organizzazione identifica, valuta, testa, distribuisce e verifica patch e aggiornamenti sui propri asset tecnologici.
Patch management e vulnerability management sono la stessa cosa?
No. Il vulnerability management identifica e prioritizza le debolezze; il patch management è uno dei principali processi di remediation.
Ogni patch critica va installata immediatamente?
La priorità deve essere risk-based. Vulnerabilità sfruttate attivamente su asset esposti o critici possono richiedere interventi immediati; altri aggiornamenti possono seguire ring e finestre ordinarie.
WSUS è ancora utilizzabile nel 2026?
Sì. Microsoft lo ha deprecato, ma continua a essere disponibile e supportato. La deprecazione indica che non riceverà nuove funzionalità e che va pianificata un’evoluzione nel medio periodo.
H3 — Il patch management riguarda solo Windows?
No. Un processo maturo include sistemi operativi, applicazioni di terze parti, server, endpoint e, dove applicabile, firmware e componenti infrastrutturali.
La NIS2 richiede il patch management?
Il quadro NIS2 include vulnerability handling e security patch management tra le misure di cybersecurity da governare con procedure, priorità e controlli adeguati.
