Svake godine, stručnjaci za bezbednost otkriju na desetine hiljada novih softverskih mana. Čuvena CVE baza (Common Vulnerabilities and Exposures) trenutno broji preko 350.000 evidentiranih ranjivosti. Samo u 2025. godini, pojavilo se gotovo 50.000 novih zapisa, od kojih je oko 4.000 označeno kao kritično. Ove pretnje nisu birale metu. Pogađale su sve, od gigantskih operativnih sistema poput Windows-a, Linux-a i macOS-a, pa do mobilnog Androida i platforme Adobe Experience Manager.

Brojke nezaustavljivo rastu još od 2016. godine, uz ozbiljan skok koji je krenuo 2021. Organizacija FIRST je iznela prilično sumornu prognozu u februaru 2026. godine: očekivalo se da broj novih ranjivosti dogura do skoro 60.000. I zaista, do juna 2026, samo projekat CVE Database je zabeležio više od 41.000 novih propusta. Malo je reći da će se svaki IT tim pošteno namučiti da isprati ovakvu lavinu upozorenja, posebno kada na nju dodate ogromno nasleđe starih problema.

Dobra vest? Većina ovih propusta uopšte nije vaš gorući prioritet, niti postoji velika šansa da će vas direktno ugroziti. Ipak, ignorisanje nije opcija. Prava muka zapravo leži u nečemu drugom: kako pametno odrediti prioritete. Upravljanje ranjivostima uzima taj haotični, zamršeni čvor prijavljenih pretnji i raspliće ga u jasnu, prioritetnu listu zadataka. Cilj je doći do sređenih sistema koji zadovoljavaju stroge regulatore, dok kompaniju, podatke i klijente drže van opasnosti.

Upravljanje ranjivostima: pravo značenje i ključne razlike

Upravljanje ranjivostima je aktivan, neprekidan proces pronalaženja, procene, rangiranja i rešavanja slabosti u Internet of Things (IoT) i Operational Technology (OT) infrastrukturi. Zaboravite na pristup „odradi i zaboravi”. Pravi timovi ovo posmatraju kao živi, proaktivni ciklus kojim se drastično smanjuje šansa za uspešan sajber napad.

Hajde da raščistimo čestu konfuziju oko sličnih pojmova. Mnoge bezbednosne platforme, uključujući ESET PROTECT, nude takozvano skeniranje ranjivosti. To su automatizovane, taktičke provere koje upoređuju vaše resurse sa bazama poznatih rupa, dajući vam brz pregled najhitnijih problema u tom trenutku. S druge strane, procena ranjivosti je obimniji, strateški poduhvat. Često je diktiraju zakonski zahtevi, sprovodi se povremeno, zahteva ljudsku analizu i obuhvata čitave mreže. Dok su skeniranje i procena povremeni, upravljanje ranjivostima je ono što se dešava konstantno.

A gde je tu upravljanje zakrpama (Patch Management)? Iako neprocenjivo, ono je samo jedan deo slagalice. Cilj mu je da održava softver i hardver ažurnim, po unapred dogovorenom rasporedu. Međutim, primena zakrpa je po svojoj prirodi isključivo reaktivna — zavisite od toga kada će i da li će proizvođač objaviti pouzdanu bezbednosnu zakrpu.

Zašto sve ovo mora da se rešava baš sada? Sistemi postaju previše kompleksni, obim pretnji raste, a gubici od hakerskih incidenata su sve razorniji. Zakonodavci su reagovali. Standardi kao što su američki FedRAMP, ili evropski NIS2, DORA i CRA, sada od firmi doslovno zahtevaju da dokažu efikasne prakse kroz neprekidnu identifikaciju, procenu i sanaciju ranjivosti.

Meta napada i životni ciklus odbrane

Da bismo se odbranili, moramo znati šta nas ugrožava. Upravljanje ranjivostima fokusirano je na četiri ključne kategorije. Softverske i sistemske mane obuhvataju čekanje da se instalira ažuriranje, ostavljanje fabričkih lozinki na serverima i prastaru opremu poput mrežnih svičeva i IoT uređaja. Mrežne rupe uključuju loše zaštićen Wi-Fi, zaboravljene rutere, pogrešno podešene firewall sisteme, pa čak i aktivne mrežne utičnice u hodnicima zgrada. Tu je i ljudski faktor; ljudi prosto greše, klikću na phishing linkove i gube telefone po prevozu. Na kraju, procesne greške i loša pravila drastično pogoršavaju problem ako nemate jasnu politiku preuzimanja softvera.

Kako ove rizike smanjiti u praksi? Kroz jasno definisan proces upravljanja ranjivostima koji se kontinuirano ponavlja i obuhvata sledeće korake:

  1. Otkrivanje i popis: Vodite potpun i redovno ažuriran popis svih IT resursa (uređaja, softvera i cloud servisa) uz podatke o odgovornim osobama i njihovom značaju za poslovanje. Automatizujte otkrivanje i popisivanje resursa gde god je moguće. Posebnu pažnju posvetite uređajima kojima IT tim ne upravlja i alatima koje zaposleni koriste bez njegovog znanja ili odobrenja (shadow IT).
  2. Skeniranje i procena: Redovno skenirajte sisteme radi otkrivanja ranjivosti, posebno nakon promena softvera, uvođenja novih uređaja ili bezbednosnih incidenata. Uključite i provere koje simuliraju pristup spoljnog napadača. Rezultate uporedite sa listama poznatih ranjivosti, poput CVE, a podešavanja sistema proverite prema CIS smernicama.
  3. Kritična prioritizacija (RBVM-Risk Based Vulnerability Management): Prioritete za otklanjanje ranjivosti odredite prema značaju resursa za vaše poslovanje, izloženosti napadačima i postojanju poznatih načina za iskorišćavanje ranjivosti. Sama ocena ozbiljnosti ranjivosti (Common Vulnerability Scoring System (CVSS) nije dovoljna za procenu stvarnog rizika. Goli CVSS skor vam neće reći koliko je neki softver bitan za vašu zaradu. Kombinujte ga sa EPSS (Exploit Probability Scoring System) procenom i CISA KEV listom da biste videli da li hakeri zaista koriste taj propust u praksi.
  4. Akcija (otklanjanje): Imate tri puta pred sobom. Primenite odgovarajuće bezbednosne ispravke-zakrpe proizvođača prema utvrđenim prioritetima. Ako ispravka nije dostupna ili bi njena primena ometala rad sistema, smanjite rizik dodatnim merama zaštite, poput ograničavanja pristupa ili izolacije uređaja. U opravdanim slučajevima rizik se može prihvatiti, uz formalno dokumentovanje odluke i saglasnost osobe odgovorne za taj resurs.
  5. Provera i izveštavanje: Ponovnim skeniranjem proverite da li su ranjivosti otklonjene i pratite vreme njihovog rešavanja i poštovanje dogovorenih rokova. Čuvajte evidenciju skeniranja, sprovedenih mera i odluka o prihvatanju rizika radi revizije, dokazivanja usklađenosti sa propisima i odgovaranja na zahteve poslovnih partnera.
  6. Novi krug: Vratite se na početak. Budući da sada imate bazu, naredne iteracije su fokusirane isključivo na nove probleme.

Da bi ovakav program zaživeo, potrebna su jasna pravila igre. RACI model (engl. Responsible, Accountable, Consulted, Informed) definiše ko izvršava zadatak, ko snosi krajnju odgovornost za rezultat, ko se konsultuje i ko se obaveštava. Definišite ugovore o nivou usluge (SLA, engl. Service Level Agreement) prema ozbiljnosti problema, sa jasnim rokovima za otklanjanje ranjivosti, a kašnjenja u primeni bezbednosnih ispravki iskoristite kao lekciju za unapređenje narednog ciklusa.


Alati i najbolje prakse

Kada kupujete bezbednosni softver, obratite pažnju na sledeće stavke:

  • Jedinstvena konzola: Potrebna vam je totalna vidljivost preko svih sistema (Windows, Linux, macOS) na jednom mestu.
  • Automatizacija: Ne čekajte cikluse ručnog pregleda; tražite skeniranje i trenutno izveštavanje koje odmah rangira probleme.
  • Fleksibilni filteri: Vaš tim mora imati mogućnost da samostalno podešava prioritete na osnovu specifičnih poslovnih potreba.
  • CVE transparentnost: Alat je beskoristan ako nije jasno koje tačno baze i ranjivosti može da prepozna.
  • Sinhronizovane zakrpe: Sistem mora raditi automatski, ali uz opciju ručnog pokretanja kada situacija to zahteva.

Pored alata, održavanje sistema zahteva širu viziju. Održavajte popis resursa fanatično tačnim. Povežite svoj alat sa sistemima za tikete i SIEM rešenjima. Kada pišete izveštaje za direktore, uvek govorite jezikom poslovnog rizika, a oslanjajte se na proverene okvire poput NIST CSF 2 ili ISO 27001.

Šta je tačno upravljanje ranjivostima?

To je neprestana vrteška identifikovanja i rešavanja bezbednosnih slabosti pre nego što stvari pođu po zlu.

Koja je razlika u odnosu na skeniranje i krpljenje?

Skeniranje je slika u vremenu, a zakrpe su samo jedan, reaktivan način rešavanja problema. Upravljanje je daleko širi pojam koji obuhvata i strategiju i mitigaciju.

Kako ovo rešava zakon?

Dokumentovan, rigorozan proces je praktično jedini način da revizorima dokažete da vaša firma poštuje propise poput NIS2 i CRA

Tekst preuzet sa: What is vulnerability management? Process, lifecycle & best practices