Vad som bör följas löpande

Sårbarheter. Vilka kända brister som finns i operativsystem och applikationer, och hur allvarliga de är i just er miljö.

Patchstatus. Inte om uppdateringar är schemalagda, utan vad som faktiskt installerades. En uppdatering som misslyckas tyst är farligare än ingen alls, eftersom den ger en känsla av kontroll som inte motsvaras av verkligheten.

Konfigurationsavvikelser. Inställningar som glidit från er standard. En brandväggsregel som öppnades för felsökning och aldrig stängdes är ett klassiskt exempel.

Behörigheter. Vem som har administratörsrättigheter och om antalet växer utan att någon bestämt det.

Exponerade tjänster. Vad som faktiskt är nåbart från internet, vilket sällan är exakt det man tror.

Konton utan aktivitet. Konton som fortfarande fungerar trots att ingen använt dem på år är både en risk och en onödig licenskostnad.

Skillnaden mot övervakning och mot SOC

Tre saker som låter lika och löser olika problem.

RMM bevakar drift: att tjänster kör, att disken inte tar slut, att backupjobbet gick igenom. Frågan är om det fungerar.

Continuous Monitoring bevakar säkerhetsläget: om miljön är uppdaterad, korrekt konfigurerad och inte mer exponerad än avsett. Frågan är hur motståndskraftig ni är.

SOC bevakar pågående händelser. Frågan är om någon är inne just nu.

De överlappar i verktygslådan men besvarar olika frågor, och en organisation som bara har det första tror ofta att den har de andra två.

Regelverken driver på

Kravbilden har skiftat från punktvisa granskningar till löpande uppföljning, och det är där Continuous Monitoring gått från bör till måste för många.

NIS2 förutsätter fortlöpande riskhantering och att ni kan visa hur läget förändrats över tid.

ISO 27001 kräver dokumenterad uppföljning av kontroller, inte en årlig ögonblicksbild.

Cyberförsäkringar ställer allt oftare frågor om patchrutiner och exponering vid förnyelse – och vid en skada granskas svaren.

Den praktiska poängen: underlaget behöver finnas när någon frågar, inte samlas in då. Att i efterhand rekonstruera ett halvår är betydligt dyrare än att löpande spara det.

Ni behöver inte åtgärda allt

En första sårbarhetsgenomlysning ger nästan alltid en obehagligt lång lista. Att försöka beta av den uppifrån och ned är ett säkert sätt att tappa fart.

Prioritera i stället efter vad som är exponerat mot internet, vad som faktiskt utnyttjas i verkligheten och vad som skulle stoppa verksamheten. Resten hanteras löpande i den ordinarie patchrutinen.

För MSP:er

Continuous Monitoring är en av de tjänster som lättast blir ett eget avtalsstycke, eftersom resultatet går att visa. En månadsrapport som visar hur exponeringen minskat är ett av få sätt att göra förebyggande arbete synligt för en kund som annars bara märker av er när något gått sönder.

Underlaget bör hämtas från verktyg ni redan har och samlas där kunddatan finns – se CMDB och tillgångshantering.