Patch Management: Cos'è e Perché Serve alla Tua Azienda

Che cos'è il patch management?

Il patch management è il processo con cui un'azienda individua, testa, distribuisce e verifica gli aggiornamenti software (patch) su server, pc e applicazioni. Serve a chiudere le vulnerabilità di sicurezza prima che vengano sfruttate, correggere bug e mantenere i sistemi stabili e conformi, secondo un calendario controllato e non lasciato al caso.

In oltre 25 anni come System Integrator abbiamo analizzato decine di incidenti informatici nelle PMI lombarde, e un dato torna con una regolarità imbarazzante: nella maggior parte dei casi l'attaccante non ha usato tecniche sofisticate. È entrato da una vulnerabilità nota, per cui la patch esisteva da mesi. Nessuno l'aveva installata. In questa guida spieghiamo cosa comprende davvero un processo di patch management, perché "Windows Update è attivo" non è una strategia, e come organizzarlo in un'azienda che non ha un reparto IT dedicato.

Patch, aggiornamenti, upgrade: facciamo chiarezza

Prima di parlare di processo, vale la pena distinguere i termini, perché nella pratica si fanno confusione a vicenda.

• Patch di sicurezza: correzione mirata che chiude una vulnerabilità specifica, spesso identificata da un codice CVE. È la categoria più urgente: dal momento in cui la vulnerabilità è pubblica, gli attaccanti sanno esattamente dove colpire.
• Bugfix e aggiornamenti di qualità: correggono malfunzionamenti, crash, problemi di prestazioni. Meno urgenti, ma trascurarli accumula instabilità.
• Aggiornamenti di funzionalità (feature update): introducono novità e cambiamenti anche visibili all'utente. Vanno pianificati con più attenzione perché possono impattare le abitudini di lavoro e la compatibilità dei gestionali.
• Upgrade di versione: il passaggio a una versione maggiore del sistema operativo o dell'applicazione. Non è patch management in senso stretto, ma il ciclo di vita del software (fine supporto, end-of-life) è una delle informazioni che il processo deve tenere sotto controllo: un sistema fuori supporto non riceve più patch, e diventa un rischio permanente.

Il perimetro, inoltre, non si ferma a Windows. Un patch management serio copre sistemi operativi server e client, hypervisor, firmware di firewall, switch e NAS, applicazioni di terze parti (browser, client di posta, lettori PDF, Java) e i gestionali. Proprio le applicazioni di terze parti sono il punto cieco più frequente: Windows si aggiorna da solo, il resto spesso no.

Come funziona un processo di patch management

Un processo strutturato non significa burocrazia: significa sapere sempre cosa è aggiornato, cosa no e perché. Le fasi sono cinque.

1. Inventario: non puoi aggiornare ciò che non sai di avere

Tutto parte da un censimento aggiornato di dispositivi e software: quanti server, quante postazioni, quali versioni, quali applicazioni installate. Sembra banale, ma nelle aziende che prendiamo in carico troviamo quasi sempre macchine "dimenticate": il pc del magazzino, il server di un applicativo dismesso a metà, il notebook del collaboratore esterno. Sono esattamente i punti da cui partono i problemi.

2. Valutazione e prioritizzazione

Non tutte le patch sono uguali. Una vulnerabilità critica sfruttata attivamente su un server esposto a internet va trattata in ore, non in settimane; un aggiornamento minore su una postazione interna può attendere la finestra mensile. La prioritizzazione incrocia la gravità della vulnerabilità (il punteggio CVSS), l'esposizione del sistema e la criticità per il business. È qui che il patch management si collega alle attività di vulnerability assessment: la scansione dice dove sei scoperto, il patching chiude i buchi in ordine di rischio.

3. Test prima della distribuzione

La paura più comune — "l'aggiornamento mi rompe il gestionale" — è legittima, e la risposta non è rimandare all'infinito ma testare. Nella pratica per una PMI significa distribuire le patch prima a un gruppo pilota (alcune postazioni rappresentative, un server non critico) e, dopo un periodo di osservazione, al resto del parco macchine. Per i sistemi davvero delicati si verifica la compatibilità con il fornitore dell'applicativo prima di procedere.

4. Distribuzione controllata

Le patch vengono rilasciate in modo scaglionato e in finestre concordate: fuori orario per i server, in orari a basso impatto per i client, con riavvii pianificati e comunicati. Gli strumenti di gestione centralizzata (piattaforme RMM, WSUS/Intune in ambito Microsoft) permettono di farlo su decine o centinaia di macchine senza passare fisicamente da ognuna. Prima di toccare un server critico, la regola è una sola: verificare che il backup più recente sia integro. Su come strutturarlo, rimandiamo alla nostra guida su backup e disaster recovery per PMI.

5. Verifica e reportistica

L'errore classico è considerare il lavoro finito al momento della distribuzione. Una percentuale di installazioni fallisce sempre: macchine spente, spazio disco esaurito, riavvii mai completati. La fase di verifica controlla il tasso di copertura reale, riprende le installazioni fallite e produce un report: quali sistemi sono aggiornati, quali no e con quale motivazione. Quel report non è un vezzo da auditor: è la prova di conformità che assicurazioni, clienti e normative chiedono sempre più spesso.

Perché il patch management serve davvero: i rischi di chi non lo fa

Le vulnerabilità note sono la porta d'ingresso preferita

Gli attacchi che colpiscono le PMI raramente sfruttano vulnerabilità sconosciute (i cosiddetti zero-day, costosi e riservati a bersagli di alto profilo). Sfruttano vulnerabilità pubbliche, documentate, con exploit già pronti e liberamente disponibili. Dal giorno in cui il vendor pubblica la patch, parte una corsa: gli attaccanti analizzano la correzione per capire il difetto e automatizzano la scansione di internet a caccia di sistemi non aggiornati. Casi come WannaCry, che nel 2017 paralizzò organizzazioni in tutto il mondo sfruttando una falla per cui la patch esisteva da due mesi, hanno reso il concetto tristemente concreto. E il ransomware moderno segue lo stesso copione: VPN e server di posta non aggiornati sono tra i vettori di ingresso più frequenti, come spieghiamo nella guida su come proteggere l'azienda dal ransomware.

Stabilità e continuità operativa

Il patching non è solo sicurezza. Sistemi non aggiornati accumulano bug, incompatibilità e degradi di prestazioni che si traducono in fermi, lentezze e ticket ricorrenti. Un parco macchine allineato e omogeneo è più semplice da supportare, si guasta meno e costa meno in interventi correttivi. È il motivo per cui il patch management è una componente fissa dei nostri contratti di assistenza informatica per aziende: prevenire un problema costa sempre meno che rincorrerlo.

Conformità: NIS2, GDPR e assicurazioni

La gestione delle vulnerabilità è ormai un obbligo, non una buona pratica facoltativa. La direttiva NIS2 la include esplicitamente tra le misure di gestione del rischio richieste ai soggetti coinvolti — e la platea comprende molte PMI della filiera, come raccontiamo nell'approfondimento su NIS2 e cosa cambia per le PMI. Il GDPR richiede misure tecniche adeguate a proteggere i dati personali, e difficilmente un sistema con patch arretrate di un anno supera questo test in caso di data breach. Anche le polizze cyber ormai chiedono evidenza di un processo di patching: senza, il premio sale o il sinistro non viene liquidato.

Patch management fai-da-te o gestito?

La domanda giusta non è "se" fare patch management, ma chi lo presidia. L'aggiornamento automatico di Windows copre una parte del problema, ma non gestisce le terze parti, non testa, non verifica gli esiti e non produce report. E soprattutto: se nessuno guarda, nessuno si accorge delle macchine rimaste indietro.

Aspetto	Fai-da-te (auto-update)	Patch management gestito
Copertura	Solo SO e prodotti del vendor	SO, terze parti, firmware, hypervisor
Test preventivi	Nessuno	Gruppo pilota e verifica compatibilità
Finestre pianificate	Riavvii imprevedibili	Concordate, fuori orario per i server
Verifica esiti	Assente	Copertura misurata, remediation dei falliti
Report di conformità	Nessuno	Documentazione per audit e assicurazioni

Per un'azienda con 10-100 postazioni, strutturare tutto questo internamente raramente ha senso economico. Il modello che funziona è il servizio gestito: una piattaforma centralizzata monitora il parco macchine, i tecnici approvano e distribuiscono le patch secondo policy concordate, e l'azienda riceve un report periodico. Il patching, peraltro, è una difesa che lavora in squadra con le altre: riduce le porte d'ingresso, mentre strumenti di rilevamento e risposta sugli endpoint intercettano ciò che riesce comunque a passare.

Da dove iniziare: tre mosse concrete

1. Fai l'inventario e misura il ritardo. Quante macchine hai, e da quanto tempo non ricevono patch? Se non sai rispondere in giornata, è il primo segnale che serve un processo.
2. Metti in sicurezza il perimetro esposto. Firewall, VPN, server di posta e servizi raggiungibili da internet vanno aggiornati per primi: sono quelli che gli attaccanti scansionano ogni giorno.
3. Definisci una cadenza e un responsabile. Una finestra mensile per il patching ordinario, una procedura d'urgenza per le vulnerabilità critiche, una persona (interna o un partner) che risponde del risultato.

Sistemi sempre aggiornati, senza pensieri: parliamone

TN Solutions gestisce il patch management di server, postazioni e apparati di rete per le PMI da oltre 25 anni, con processi certificati ISO 9001 e ISO 27001: inventario, test, distribuzione pianificata e report di conformità, il tutto incluso nei nostri contratti di assistenza informatica. Se vuoi sapere quanto è aggiornato davvero il tuo parco macchine, partiamo da lì: contattaci o chiama lo 02 9517550 per un check-up senza impegno.