Patch management per aziende: aggiornamenti di PC, server e applicazioni
Nexsys imposta e gestisce il patch management per aziende e PMI: aggiornamenti di PC, server e applicazioni di terze parti, con regole, finestre di manutenzione e report su cosa è aggiornato e cosa no.
Lo impostiamo come progetto, con la piattaforma pronta e le regole definite, oppure lo seguiamo come servizio continuativo, con Microsoft Intune, Action1 o ManageEngine Endpoint Central; dove gli aggiornamenti ufficiali non arrivano più usiamo 0patch.
Che cos’è il patch management, quali fasi ha e come si misura lo spieghiamo nella nostra guida al patch management aziendale.
Quando serve un servizio di patch management
Gli aggiornamenti di Windows passano ancora da WSUS, che Microsoft ha dichiarato deprecato nel 2024: resta supportato, ma non riceve più nuove funzioni e non aggiorna le applicazioni di terze parti.
Browser, lettori PDF, client VPN e altre applicazioni si aggiornano solo quando qualcuno se ne ricorda.
I server restano indietro perché mancano finestre di manutenzione o si temono i riavvii.
Un vulnerability assessment, un cliente o un auditor ti chiedono quanto è aggiornato il parco e non hai un report da mostrare.
Hai PC con Windows 10 o altri sistemi fuori supporto che non puoi sostituire subito.
Le piattaforme che usiamo
Scegliamo lo strumento in base alle licenze che hai già e a come è fatto il tuo ambiente:
Microsoft Intune, se le tue licenze Microsoft 365 lo includono, come Business Premium: gli aggiornamenti di Windows e delle app di Microsoft 365 sui PC si governano dalla stessa console con cui gestisci i dispositivi. Intune però non aggiorna i server Windows, e per le applicazioni di terze parti serve Enterprise App Management, compreso in Microsoft 365 E5 ed E7 e a pagamento con gli altri piani: per i server, e per le applicazioni quando quella licenza manca, usiamo Action1 o Endpoint Central.
Action1, piattaforma in cloud che aggiorna Windows e molte applicazioni di terze parti senza server in sede: è un’alternativa a WSUS che descriviamo nella nostra guida ad Action1.
ManageEngine Endpoint Central, quando servono anche inventario, distribuzione del software e assistenza remota in un’unica console, in cloud o installata in azienda: ne parliamo nella pagina su ManageEngine.
0patch, per i sistemi e le applicazioni che non ricevono più aggiornamenti ufficiali: i micropatch di 0patch correggono le singole vulnerabilità, di norma senza riavviare il computer.
Fuori da Intune, la scelta tra Action1 ed Endpoint Central dipende dai bisogni reali dell’azienda, non da una soglia fissa di dispositivi. Se usi già WSUS o Configuration Manager, li facciamo convivere con la nuova piattaforma per il tempo della transizione.
Cosa comprende il servizio
Stato iniziale
Rileviamo PC, server e applicazioni installate, con versioni e aggiornamenti mancanti, e ti mostriamo da dove si parte.
Regole di aggiornamento
Definiamo con te gli anelli di distribuzione (prima un gruppo pilota, poi il resto), le finestre di manutenzione dei server, i tempi per le patch critiche e le eccezioni, ognuna con un motivo e una scadenza.
Configurazione
Installiamo gli agenti, organizziamo i dispositivi in gruppi e impostiamo approvazioni, riavvii e avvisi agli utenti.
Applicazioni di terze parti
Mettiamo sotto controllo le applicazioni più esposte, non solo il sistema operativo.
Gestione continuativa
Con il servizio gestito seguiamo i rilasci, distribuiamo gli aggiornamenti secondo le regole concordate e interveniamo sui dispositivi che restano indietro. Per le vulnerabilità sfruttate attivamente acceleriamo i tempi, come previsto nel contratto.
Report
Impostiamo i report con i dispositivi aggiornati, le patch mancanti e le eccezioni aperte: sono l’evidenza da mostrare a clienti e auditor, anche nelle verifiche legate alla NIS2.
Patch management, vulnerability assessment ed endpoint management
Il patch management installa gli aggiornamenti disponibili. Il vulnerability assessment trova anche quello che una patch non risolve, come configurazioni deboli o servizi esposti, e serve a verificare il risultato: per questo li usiamo insieme. Se ti serve la gestione completa dei dispositivi, dalle configurazioni alle app, il patch management diventa una parte del nostro servizio di endpoint management.
Domande frequenti sul patch management
Quanto costa il servizio di patch management?
Dipende dal numero di dispositivi, dalla piattaforma e dal livello di servizio: solo impostazione iniziale oppure anche gestione continuativa. Dopo una prima call sul tuo ambiente ti mandiamo un preventivo; se servono, le licenze della piattaforma le forniamo noi.
WSUS si può ancora usare?
Sì. Microsoft ha dichiarato WSUS deprecato nel settembre 2024: il ruolo è ancora presente in Windows Server 2025 e riceve correzioni di sicurezza secondo il ciclo di vita del prodotto, ma non avrà nuove funzioni e non aggiorna le applicazioni di terze parti. Conviene quindi programmare il passaggio a una piattaforma più recente, senza fretta ma con date precise.
Gli aggiornamenti possono bloccare PC e server?
Può succedere, ed è il motivo per cui distribuiamo ad anelli: prima un gruppo pilota, poi il resto del parco, con finestre di manutenzione e un piano per tornare indietro sui server critici. Così un aggiornamento difettoso si ferma su pochi dispositivi.
Cosa fare con i PC che hanno ancora Windows 10?
Dal 14 ottobre 2025 le edizioni Pro ed Enterprise di Windows 10 non ricevono più aggiornamenti di sicurezza gratuiti (le versioni LTSC hanno un ciclo di vita proprio). Le strade sono tre: passare a Windows 11, acquistare gli aggiornamenti di sicurezza estesi (ESU) di Microsoft oppure proteggere con 0patch i sistemi che non si possono migrare subito. Le confrontiamo nella guida su come proteggere Windows 10 dopo la fine del supporto.
Il patch management basta per la NIS2?
No, è una delle misure. La NIS2 chiede di gestire le vulnerabilità insieme ad altre misure, dagli accessi ai backup, dagli incidenti ai fornitori. Il patch management però produce evidenze concrete, utili anche nella consulenza NIS2.
Preferisci compilare il modulo? Scrivi i tuoi dati qui sotto
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 0452456669. Puoi anche compilare il modulo sottostante: