Handelsübliche Standardsoftware ist ein fertiges Produkt, das ein Käufer vom Hersteller lizenziert, statt denselben Zweck vollständig neu bauen zu lassen.
Der Käufer gewinnt Tempo und die Planung des Herstellers und akzeptiert, dass Korrekturen, Voreinstellungen und Funktionen nach dessen Zeitplan kommen.
So funktioniert es
Weil viele Kunden dasselbe Produkt betreiben, kann ein Fehler sie alle zugleich treffen, deshalb gehören Bestand und Aktualisierungstermin zur Sicherheit und nicht nur zur Beschaffung.
Eigene Änderungen über dem Produkt können Aktualisierungen blockieren, deshalb sollten Teams Konfiguration Änderungen vorziehen, die sie nicht pflegen können.
Lieferanten dieser Produkte werden Teil Ihres Risikos, deshalb fragen Sie, wie sie Schwachstellen behandeln, welche Daten sie erheben und wie lange eine Version unterstützt bleibt.
Eine billige Lizenz, die nie Korrekturen erhält, ist ein teurer Vorfall, der auf einen Anlass wartet.
Konkrete Beispiele
- Ein Krankenhaus kauft ein Planungsprodukt, das viele vergleichbare Häuser nutzen, und muss die Sicherheitsaktualisierung des Herstellers in derselben vollen Woche einspielen.
- Eine lokale Anpassung verhindert eine Aktualisierung, deshalb betreibt das Haus weiter eine Version, die der Hersteller nicht mehr korrigiert.
- Eine Finanzabteilung wählt ein fertiges Hauptbuch und verlässt sich darauf, dass der Hersteller Korrekturen für neu bekannt gewordene Fehler veröffentlicht.
Schutzmaßnahmen
- Führen Sie einen Bestand fertiger Produkte, Versionen und der Daten, an denen die Herstellerunterstützung endet.
- Bevorzugen Sie unterstützte Konfiguration vor lokalem Code, der die nächste Sicherheitsaktualisierung blockieren wird.
- Abonnieren Sie Herstellerhinweise und legen Sie vorher fest, wer eine eilige Aktualisierung genehmigen darf.
- Fragen Sie Hersteller, wie sie Fehler melden und welche Daten ihr Produkt nach außen sendet, bevor Sie es breit einsetzen.