Yama yönetimi süreci

Açılış

Bora'nın masasında, hastane yönetim kurulu toplantısı için hazırlanmış bir tablo duruyordu. Başhekim yardımcısı bir soru sormuştu ve Bora cevabı bir haftadır topluyordu: "Hastanedeki bilgisayarların ne kadarı güncel?"

Soru basit görünüyordu. Cevap değildi.

İdari bilgisayarların çoğu güncellemeleri kendiliğinden alıyordu, ama yirmi kadarı aylardır yeniden başlatılmadığı için güncellemeleri bekliyordu. Hemşire istasyonlarındaki bilgisayarlar vardiya hiç durmadığı için kimsenin kapatmaya cesaret edemediği makinelerdi. Ameliyathanedeki iki bilgisayar, üreticinin onayı olmadan güncellenemezdi; onay altı ayda bir geliyordu. Radyolojideki eski iş istasyonu artık hiç güncelleme almıyordu. Ve laboratuvar cihazı, bu modülün açılışındaki o tasarım kusurunu hâlâ taşıyordu ve hiçbir zaman yamalanamayacaktı.

Bora tabloya yüzde altmış sekiz yazdı, sonra sildi. Tek bir sayı, bu beş farklı durumu birbirine karıştırıyordu.

Toplantıda başhekim yardımcısına başka bir şey gösterdi: tek bir sayı yerine beş satır. Her satır bir cihaz grubu, her grubun kendi yama planı ve her planın kendi hedefi.

"Neden hepsine aynı kuralı koymuyoruz?" diye sordu başhekim yardımcısı.

"Çünkü aynı değiller," dedi Bora.

Tek fikir

Yama yönetimi tek seferlik bir güncelleme değil, bir bakım döngüsüdür: neyin elinde olduğunu bil, riske göre karar ver, hazırla, uygula, doğrula ve izle. Varlıkları benzer gruplara ayırıp her gruba kendi planını vermek, döngüyü yönetilebilir kılar.

Nasıl çalışır

Modül 2'de güncellemenin neden önemli olduğunu kişisel bir cihaz için konuşmuştuk; Modül 8'de kendi telefonun ve bilgisayarın için bir güncelleme düzeni kurmuştuk. Bu ders aynı işi bir kurum ölçeğine taşıyor: yüzlerce cihaz, onlarca farklı yazılım, durdurulamayan hizmetler.

Bu sürecin en çok başvurulan rehberi, NIST'in kurumsal yama yönetimi planlaması yayınıdır.

Döngünün her adımı bir soruya cevap verir.

Bilmek: hangi varlık hangi yazılımı çalıştırıyor ve bunlarda yeni bir zafiyet var mı? Bu adımın temeli Modül 2'deki envanterdir. Bilmediğin bir cihaz, hiçbir döngüye girmez.

Planlamak: bu zafiyet için ne yapacağız? Yamalamak her zaman tek seçenek değildir. Rehber, Modül 12'de gördüğümüz dört risk yanıtını burada da sayar: kabul etmek, azaltmak, aktarmak ve kaçınmak. Bir yama yoksa ya da hemen uygulanamıyorsa, bir önceki derste gördüğümüz geçici önlem de bir azaltma biçimidir. Önceliği ise Ders 17.2'deki üç soru belirler: puan, tehdit ve ortam.

Hazırlamak: yamayı edinmek, test etmek, bir bakım penceresi belirlemek, iş birimleriyle konuşmak.

Uygulamak: yamayı dağıtmak ve kurmak.

Doğrulamak: yama gerçekten kuruldu mu ve etkili oldu mu?

İzlemek: yama yerinde kalıyor mu?

Test adımında rehberin önerdiği yöntem, kurumların çoğunun sezgisel olarak yaptığı şeyin adlandırılmış hâlidir.

Sahada

Savunma

İyi bir yama yönetimi süreci birkaç ilkeye dayanır.

Envanterle başla. Hangi makinede hangi sürümün çalıştığını bilmeyen, gelen bir duyuruya kendisini ilgilendiriyor mu diye bakamaz.

Varlıkları gruplara ayır. Tek bir kural bütün cihazlara uymaz. Benzer cihazları bir gruba topla ve her gruba kendi planını ver: ne sıklıkla, nasıl test edilerek, hangi hedef sürede.

Olağan ve acil yolu ayrı tut. Aylık güncellemeler olağan yoldan gider; bilinen istismar edilen bir zafiyet ya da sıfırıncı gün acil yoldan. İki yol da önceden yazılmış olmalıdır; acil yolun ne zaman açılacağını kimin karar vereceği de.

Aşamalı dağıt. Yamayı önce küçük bir gruba uygula, sonra genişlet. Acil durumda bile bu aşama atlanmaz, yalnız kısalır.

Esneklik tanı ama sınır koy. Kullanıcıya ertelemek için bir süre ver; süre bitince kurulumu zorla.

Doğrula. "Dağıtıldı" ile "kuruldu" ve "etkili" aynı şey değildir. Yeniden başlatılmayan bir bilgisayar, yeniden başlatılmayan bir hizmet, yamayı almış görünüp eski sürümü çalıştırmaya devam eder.

Yamalanamayanı ayrı yönet. Desteği biten ya da üreticinin onayına bağlı varlıklar için ayrı bir grup, ayrı önlemler ve bir yenileme tarihi gerekir.

Ve iş sahipleriyle birlikte planla. Rehberin altını çizdiği gibi, yamalama kesinti gerektirir ve kesintiyi kabul edecek olan iş birimidir. Bakım pencereleri onlarla birlikte belirlenir.

Uygulama

Kendi evindeki cihazlar için küçük bir yama yönetimi planı çıkaracaksın.

Bittiğinde, kaç cihazın hangi grupta olduğunu ve bekleyen kaç yeniden başlatma bulduğunu not et.

Defter: Ev cihazları tablosu, güncelleme yolları, bakım grupları ve her grubun kuralı, doğrulama sonucunda bulunan bekleyen yeniden başlatmalar, desteği bitmiş cihazlar için plan.

Hata köşesi

Etik ve sınırlar

Bir kurumda yama dağıtmak, birçok kişinin bilgisayarına ve işine dokunmak demektir; bunu yapma yetkisi bilgi işlemin ve bu yetkiyi veren yönetimindir. Bir çalışanın kendi başına, kurumun yönetimindeki bir cihaza resmî olmayan bir yama ya da sürüm kurması, iyi bir amaçla da olsa, test edilmemiş bir değişiklik getirir ve bir arızanın kaynağını bulmayı zorlaştırır. Zorunlu yeniden başlatma gibi kurallar insanların işini etkiler; bu yüzden önceden duyurulur, uyarı verilir ve kimin hangi durumda istisna alabileceği yazılır. Tıbbi cihazlar gibi güvenliği insan hayatına dokunan sistemlerde, üreticinin onayı olmadan güncelleme yapmak hem cihazın garantisini hem de onayını geçersiz kılabilir; rehber de bu durumda kendi başına güncelleyen kurumun üretici desteğini kaybedebileceğini yazar. Bora'nın ameliyathane kuralı bu yüzden üreticinin onayına bağlıydı.

Kapanış

1. Yama yönetimi bir bakım döngüsüdür: bil, planla, hazırla, uygula, doğrula, izle. Bir kerelik bir iş değil, sürekli dönen bir süreçtir.
2. Varlıkları benzer bakım gruplarına ayırmak ve her gruba kendi planını vermek, farklı cihazların farklı ihtiyaçlarını yönetilebilir kılar; olağan, acil ve yamalanamayan yollar ayrı yazılır.
3. Aşamalı dağıtım, test etmenin pratik yoludur ve acil durumda bile atlanmaz; doğrulama ise "dağıtıldı" ile "kuruldu ve etkili" arasındaki farkı yakalar.

Üç soru

1. Bora başhekim yardımcısına neden tek bir yüzde yerine beş satır gösterdi?
2. Kaan'ın panelinde bütün bilgisayarlar güncel göründüğü hâlde neden on biri yamasızdı ve ne kural konuldu?
3. Selin'in doğrulama adımı neyi ortaya çıkardı?

Yanıtlar

1. Tek bir yüzde, birbirinden çok farklı durumları karıştırıyordu: kendiliğinden güncellenen idari bilgisayarlar, durdurulamayan hemşire istasyonları, üretici onayı bekleyen ameliyathane bilgisayarları ve hiç yamalanamayan eski cihazlar. Her grubun kendi planı ve hedefi olmalıydı. Beş satır, her grubun kendi hedefine göre ne durumda olduğunu gösteriyordu.
2. Güncellemeler indirilmişti ama on bir bilgisayar aylardır yeniden başlatılmadığı için yamalar kurulmamıştı. Kaan, rehberin esneklik tanıyıp sonra zorlama önerisine göre bir kural koydu: çalışan yedi gün içinde istediği zaman yeniden başlatabilecek, yedinci günün akşamı bilgisayar kendiliğinden yeniden başlayacaktı; uyarı iki gün önceden ekranda görünecekti.
3. Dağıtım aracı "başarılı" demişti ama dört sunucudan birinde hizmet yeniden başlatılmamıştı ve bellekte hâlâ eski sürüm çalışıyordu. Dosya güncellenmiş, hizmet güncellenmemişti. Ekip dağıtım listesine "yamadan sonra çalışan sürümü sor" adımını ekledi.

Sonraki derse köprü

Yama yönetimi, zafiyetleri öğrendiğimiz anda başlar. Ama kendi sistemlerimizde hangi zafiyetlerin bulunduğunu yalnız duyurularla öğrenmek yetmez. Zafiyet taraması dersi, kendi sistemlerini düzenli olarak taramayı ve her bulguyu bir sahibi ve tarihi olan bir işe dönüştürmeyi anlatıyor.