{"id":3053,"date":"2026-10-26T13:44:05","date_gmt":"2026-10-26T12:44:05","guid":{"rendered":"https:\/\/www.sprintdatacenter.pl\/blog\/?p=3053"},"modified":"2026-10-26T13:44:05","modified_gmt":"2026-10-26T12:44:05","slug":"zarzadzanie-podatnosciami-jak-nie-przegapic-latki","status":"publish","type":"post","link":"https:\/\/www.sprintdatacenter.pl\/blog\/zarzadzanie-podatnosciami-jak-nie-przegapic-latki\/","title":{"rendered":"Zarz\u0105dzanie podatno\u015bciami: jak nie przegapi\u0107 \u0142atki, kt\u00f3ra naprawd\u0119 ma znaczenie"},"content":{"rendered":"<h1>Zarz\u0105dzanie podatno\u015bciami: jak nie przegapi\u0107 \u0142atki, kt\u00f3ra naprawd\u0119 ma znaczenie<\/h1>\n<p>Ka\u017cdego tygodnia producenci system\u00f3w operacyjnych, baz danych i aplikacji publikuj\u0105 nowe poprawki bezpiecze\u0144stwa. \u017baden dzia\u0142 IT nie wdro\u017cy ich wszystkich w dniu publikacji \u2014 i nie musi. Ryzyko pojawia si\u0119 dopiero wtedy, gdy nikt nie wie, kt\u00f3re luki dotycz\u0105 firmowych serwer\u00f3w, kt\u00f3re z nich s\u0105 naprawd\u0119 gro\u017ane i kto odpowiada za ich usuni\u0119cie. <strong>Zarz\u0105dzanie podatno\u015bciami<\/strong> to w\u0142a\u015bnie ten brakuj\u0105cy proces: zamiast \u0142ata\u0107 \u201ekiedy b\u0119dzie czas\u201d, firma wie, co \u0142ata\u0107 najpierw i w jakim terminie.<\/p>\n<nav class=\"sdc-toc\">\n<h2>Spis tre\u015bci<\/h2>\n<ul>\n<li><a href=\"#zacznij-od-inwentarza-nie-od\">Zacznij od inwentarza, nie od skanera<\/a><\/li>\n<li><a href=\"#skad-wiedziec-ze-pojawila-sie\">Sk\u0105d wiedzie\u0107, \u017ce pojawi\u0142a si\u0119 nowa luka<\/a><\/li>\n<li><a href=\"#priorytety-ocena-cvss-to-dopiero\">Priorytety: ocena CVSS to dopiero pocz\u0105tek<\/a><\/li>\n<li><a href=\"#terminy-latania-zapisane-na-papierze\">Terminy \u0142atania zapisane na papierze<\/a><\/li>\n<li><a href=\"#gdy-latki-nie-da-sie\">Gdy \u0142atki nie da si\u0119 wdro\u017cy\u0107<\/a><\/li>\n<li><a href=\"#dowody-dla-audytora-nis2-i\">Dowody dla audytora: NIS2 i ustawa o KSC<\/a><\/li>\n<li><a href=\"#kto-ma-to-robic-na\">Kto ma to robi\u0107 na co dzie\u0144<\/a><\/li>\n<li><a href=\"#podsumowanie\">Podsumowanie<\/a><\/li>\n<li><a href=\"#faq-najczesciej-zadawane-pytania-o\">FAQ \u2013 najcz\u0119\u015bciej zadawane pytania o zarz\u0105dzanie podatno\u015bciami<\/a><\/li>\n<\/ul>\n<\/nav>\n<h2 id=\"zacznij-od-inwentarza-nie-od\">Zacznij od inwentarza, nie od skanera<\/h2>\n<p>Nie da si\u0119 oceni\u0107 podatno\u015bci w oprogramowaniu, o kt\u00f3rego istnieniu nie wiesz. Pierwszym krokiem jest aktualna lista: serwery (fizyczne, wirtualne, dedykowane i kolokowane), systemy operacyjne z wersjami, kluczowe us\u0142ugi (serwer WWW, baza danych, panel administracyjny, VPN) oraz osoba odpowiedzialna za ka\u017cdy element.<\/p>\n<p>W praktyce najcz\u0119\u015bciej \u201ewypadaj\u0105\u201d z inwentarza:<\/p>\n<ul>\n<li>stare maszyny testowe, kt\u00f3re kto\u015b kiedy\u015b uruchomi\u0142 i zapomnia\u0142,<\/li>\n<li>urz\u0105dzenia sieciowe i kontrolery zdalnego zarz\u0105dzania serwerem,<\/li>\n<li>biblioteki i komponenty wbudowane w aplikacje, a nie instalowane osobno.<\/li>\n<\/ul>\n<p>Je\u015bli niedawno porz\u0105dkowa\u0142e\u015b list\u0119 sprz\u0119tu, na przyk\u0142ad pod k\u0105tem <a href=\"https:\/\/www.sprintdatacenter.pl\/blog\/dostawcy-wysokiego-ryzyka-zrob-inwentarz-sprzetu-teraz\/\">dostawc\u00f3w wysokiego ryzyka<\/a>, masz ju\u017c solidny punkt wyj\u015bcia \u2014 wystarczy dopisa\u0107 wersje oprogramowania.<\/p>\n<h2 id=\"skad-wiedziec-ze-pojawila-sie\">Sk\u0105d wiedzie\u0107, \u017ce pojawi\u0142a si\u0119 nowa luka<\/h2>\n<p>\u0179r\u00f3d\u0142a informacji warto ustali\u0107 z g\u00f3ry, zamiast liczy\u0107 na to, \u017ce kto\u015b przeczyta o problemie w mediach:<\/p>\n<ul>\n<li><strong>biuletyny bezpiecze\u0144stwa producent\u00f3w<\/strong> \u2014 dystrybucji Linuksa, Windows Server, system\u00f3w baz danych i paneli,<\/li>\n<li><strong>publiczne bazy CVE<\/strong> \u2014 ka\u017cda opisana luka ma sw\u00f3j identyfikator, kt\u00f3ry pozwala szybko sprawdzi\u0107, kt\u00f3rych wersji dotyczy,<\/li>\n<li><strong>komunikaty krajowych zespo\u0142\u00f3w CSIRT<\/strong> \u2014 ostrzegaj\u0105 o lukach aktywnie wykorzystywanych w atakach,<\/li>\n<li><strong>skaner podatno\u015bci<\/strong> \u2014 narz\u0119dzie por\u00f3wnuj\u0105ce wersje zainstalowanego oprogramowania ze znanymi lukami.<\/li>\n<\/ul>\n<p>Skaner jest pomocny, ale nie zast\u0105pi inwentarza: sprawdzi tylko te systemy, kt\u00f3re mu wska\u017cesz.<\/p>\n<h2 id=\"priorytety-ocena-cvss-to-dopiero\">Priorytety: ocena CVSS to dopiero pocz\u0105tek<\/h2>\n<p>Ka\u017cda podatno\u015b\u0107 dostaje liczbow\u0105 ocen\u0119 wa\u017cno\u015bci w skali CVSS. Kusz\u0105ce jest \u0142atanie wy\u0142\u0105cznie wed\u0142ug tej liczby, ale sama ocena nie uwzgl\u0119dnia kontekstu Twojej firmy. Przy ustalaniu kolejno\u015bci zadaj trzy pytania:<\/p>\n<ol>\n<li><strong>Czy podatny element jest dost\u0119pny z internetu?<\/strong> Luka w us\u0142udze wystawionej publicznie jest zwykle gro\u017aniejsza ni\u017c ta sama luka na serwerze dost\u0119pnym tylko z sieci wewn\u0119trznej.<\/li>\n<li><strong>Czy luka jest ju\u017c wykorzystywana w atakach?<\/strong> Publicznie dost\u0119pny exploit lub ostrze\u017cenie CSIRT o aktywnych atakach powinno przesun\u0105\u0107 zadanie na pocz\u0105tek kolejki.<\/li>\n<li><strong>Jakie dane i procesy s\u0105 na tym serwerze?<\/strong> System obs\u0142uguj\u0105cy sprzeda\u017c lub dane osobowe ma wy\u017cszy priorytet ni\u017c \u015brodowisko testowe.<\/li>\n<\/ol>\n<h2 id=\"terminy-latania-zapisane-na-papierze\">Terminy \u0142atania zapisane na papierze<\/h2>\n<p>Proces dzia\u0142a wtedy, gdy terminy s\u0105 ustalone z wyprzedzeniem, a nie negocjowane przy ka\u017cdej luce. Przyk\u0142adowy podzia\u0142 mo\u017ce wygl\u0105da\u0107 tak:<\/p>\n<ul>\n<li><strong>krytyczne i aktywnie wykorzystywane, dost\u0119pne z internetu<\/strong> \u2014 natychmiast, poza zwyk\u0142ym harmonogramem,<\/li>\n<li><strong>wysokie<\/strong> \u2014 w najbli\u017cszym zaplanowanym oknie serwisowym,<\/li>\n<li><strong>\u015brednie i niskie<\/strong> \u2014 w ramach regularnego cyklu aktualizacji.<\/li>\n<\/ul>\n<p>Konkretne liczby dni dobierz do swojej organizacji, ale zapisz je w polityce i trzymaj si\u0119 ich. Zwyk\u0142e poprawki najlepiej wdra\u017ca\u0107 w przewidywalnych <a href=\"https:\/\/www.sprintdatacenter.pl\/blog\/okna-serwisowe-jak-aktualizowac-serwer-nie-zatrzymujac-firmy\/\">oknach serwisowych<\/a>, a \u0142atki krytyczne \u2014 wed\u0142ug osobnej, szybkiej \u015bcie\u017cki.<\/p>\n<h2 id=\"gdy-latki-nie-da-sie\">Gdy \u0142atki nie da si\u0119 wdro\u017cy\u0107<\/h2>\n<p>Czasem poprawka nie istnieje albo nie mo\u017cna jej zainstalowa\u0107: system jest poza wsparciem producenta, aplikacja nie dzia\u0142a z nowsz\u0105 wersj\u0105 biblioteki, a przest\u00f3j jest niemo\u017cliwy. Wtedy potrzebne s\u0105 \u015brodki zast\u0119pcze \u2014 ograniczenie dost\u0119pu do us\u0142ugi regu\u0142ami firewalla, wy\u0142\u0105czenie podatnej funkcji, odseparowanie serwera w osobnym segmencie sieci. Ka\u017cdy taki wyj\u0105tek warto zapisa\u0107 razem z dat\u0105 ponownej oceny. Je\u015bli wyj\u0105tk\u00f3w przybywa, bo system nie dostaje ju\u017c poprawek, to sygna\u0142, \u017ce czas na migracj\u0119 \u2014 podobnie jak w przypadku <a href=\"https:\/\/www.sprintdatacenter.pl\/blog\/debian-11-bez-poprawek-aktualizowac-serwer-dedykowany-czy\/\">Debiana 11 bez wsparcia<\/a>.<\/p>\n<h2 id=\"dowody-dla-audytora-nis2-i\">Dowody dla audytora: NIS2 i ustawa o KSC<\/h2>\n<p>Znowelizowana ustawa o krajowym systemie cyberbezpiecze\u0144stwa, wdra\u017caj\u0105ca dyrektyw\u0119 NIS2, wymaga od podmiot\u00f3w kluczowych i wa\u017cnych m.in. obs\u0142ugi i ujawniania podatno\u015bci jako elementu zarz\u0105dzania ryzykiem. Podczas audytu nie wystarczy deklaracja, \u017ce \u201eserwery s\u0105 aktualizowane\u201d. Przygotuj:<\/p>\n<ul>\n<li>aktualny inwentarz system\u00f3w z w\u0142a\u015bcicielami,<\/li>\n<li>spisan\u0105 polityk\u0119 z kategoriami ryzyka i terminami \u0142atania,<\/li>\n<li>histori\u0119: kiedy podatno\u015b\u0107 zosta\u0142a wykryta, kiedy oceniona i kiedy usuni\u0119ta,<\/li>\n<li>rejestr wyj\u0105tk\u00f3w ze \u015brodkami zast\u0119pczymi.<\/li>\n<\/ul>\n<p>Taka dokumentacja przydaje si\u0119 tak\u017ce wtedy, gdy podatno\u015b\u0107 zostanie wykorzystana i trzeba szybko <a href=\"https:\/\/www.sprintdatacenter.pl\/blog\/zglaszanie-incydentow-nis2-ile-godzin-masz-na-zgloszenie\/\">zg\u0142osi\u0107 incydent<\/a> \u2014 od razu wida\u0107, co i kiedy zosta\u0142o zrobione.<\/p>\n<h2 id=\"kto-ma-to-robic-na\">Kto ma to robi\u0107 na co dzie\u0144<\/h2>\n<p>Zarz\u0105dzanie podatno\u015bciami to praca ci\u0105g\u0142a, a nie jednorazowy projekt. W mniejszych zespo\u0142ach IT najcz\u0119\u015bciej przegrywa z bie\u017c\u0105cymi zadaniami. Cz\u0119\u015b\u0107 pracy mo\u017cna przekaza\u0107 na zewn\u0105trz: <a href=\"https:\/\/www.sprintdatacenter.pl\/pakiety-administracyjne\">pakiety administracyjne Sprint Data Center<\/a> obejmuj\u0105 m.in. regularne aktualizacje system\u00f3w operacyjnych i oprogramowania serwerowego, aktualizacje bezpiecze\u0144stwa, konfiguracj\u0119 firewalla oraz monitoring podatno\u015bci (source: sprintdatacenter.pl\/pakiety-administracyjne). Odpowiedzialno\u015b\u0107 za polityk\u0119 i decyzje o wyj\u0105tkach pozostaje po stronie firmy, ale codzienna obs\u0142uga przestaje zale\u017ce\u0107 od tego, czy administrator znajdzie woln\u0105 godzin\u0119.<\/p>\n<h2 id=\"podsumowanie\">Podsumowanie<\/h2>\n<p>Skuteczne zarz\u0105dzanie podatno\u015bciami opiera si\u0119 na czterech elementach: kompletnym inwentarzu, sta\u0142ych \u017ar\u00f3d\u0142ach informacji o lukach, priorytetach uwzgl\u0119dniaj\u0105cych kontekst oraz zapisanych terminach \u0142atania. Do tego dochodzi dokumentacja, kt\u00f3ra w czasach NIS2 jest r\u00f3wnie wa\u017cna jak same poprawki. Je\u015bli szukasz infrastruktury, na kt\u00f3rej ten proces mo\u017cesz oprze\u0107, sprawd\u017a <a href=\"https:\/\/www.sprintdatacenter.pl\/najtansze-serwery-dedykowane\/\">serwery dedykowane Sprint Data Center<\/a> z ochron\u0105 anty-DDoS i wsparciem technicznym 24h, a obs\u0142ug\u0119 aktualizacji powierz naszym administratorom w ramach <a href=\"https:\/\/www.sprintdatacenter.pl\/pakiety-administracyjne\">pakiet\u00f3w administracyjnych<\/a>.<\/p>\n<h2 id=\"faq-najczesciej-zadawane-pytania-o\">FAQ \u2013 najcz\u0119\u015bciej zadawane pytania o zarz\u0105dzanie podatno\u015bciami<\/h2>\n<h3>Czym r\u00f3\u017cni si\u0119 zarz\u0105dzanie podatno\u015bciami od zwyk\u0142ego aktualizowania serwera?<\/h3>\n<p>Aktualizowanie to instalowanie poprawek. Zarz\u0105dzanie podatno\u015bciami to ca\u0142y proces wok\u00f3\u0142 nich: wiedza o tym, jakie systemy posiadasz, \u015bledzenie nowych luk, ocena ich znaczenia dla firmy, terminy usuni\u0119cia, obs\u0142uga wyj\u0105tk\u00f3w i dokumentacja. Dzi\u0119ki temu najgro\u017aniejsze luki s\u0105 usuwane jako pierwsze, a nie przypadkiem.<\/p>\n<h3>Czy wystarczy \u0142ata\u0107 wy\u0142\u0105cznie podatno\u015bci z wysok\u0105 ocen\u0105 CVSS?<\/h3>\n<p>Nie. Ocena CVSS opisuje wa\u017cno\u015b\u0107 luki w oderwaniu od Twojego \u015brodowiska. Luka o \u015bredniej ocenie w us\u0142udze dost\u0119pnej z internetu, aktywnie wykorzystywana przez atakuj\u0105cych, mo\u017ce by\u0107 pilniejsza ni\u017c krytyczna luka w systemie odci\u0119tym od sieci. Priorytet ustalaj, \u0142\u0105cz\u0105c ocen\u0119 z ekspozycj\u0105 i warto\u015bci\u0105 danych.<\/p>\n<h3>Co zrobi\u0107, gdy dla podatno\u015bci nie ma jeszcze poprawki?<\/h3>\n<p>Zastosuj \u015brodki zast\u0119pcze: ogranicz dost\u0119p do us\u0142ugi regu\u0142ami firewalla, wy\u0142\u0105cz podatn\u0105 funkcj\u0119 lub odseparuj serwer w osobnym segmencie sieci. Zapisz wyj\u0105tek wraz z dat\u0105 ponownej oceny i wdr\u00f3\u017c poprawk\u0119, gdy tylko producent j\u0105 opublikuje.<\/p>\n<h3>Czy NIS2 wymaga zarz\u0105dzania podatno\u015bciami?<\/h3>\n<p>Tak. Obs\u0142uga i ujawnianie podatno\u015bci nale\u017c\u0105 do \u015brodk\u00f3w zarz\u0105dzania ryzykiem, kt\u00f3re znowelizowana ustawa o KSC, wdra\u017caj\u0105ca NIS2, nak\u0142ada na podmioty kluczowe i wa\u017cne. Audytor b\u0119dzie oczekiwa\u0142 nie tylko aktualnych system\u00f3w, ale te\u017c dowod\u00f3w, \u017ce proces dzia\u0142a w spos\u00f3b powtarzalny.<\/p>\n<p><script type=\"application\/ld+json\">{\"@context\": \"https:\/\/schema.org\", \"@type\": \"FAQPage\", \"mainEntity\": [{\"@type\": \"Question\", \"name\": \"Czym r\u00f3\u017cni si\u0119 zarz\u0105dzanie podatno\u015bciami od zwyk\u0142ego aktualizowania serwera?\", \"acceptedAnswer\": {\"@type\": \"Answer\", \"text\": \"Aktualizowanie to instalowanie poprawek. Zarz\u0105dzanie podatno\u015bciami to ca\u0142y proces wok\u00f3\u0142 nich: wiedza o tym, jakie systemy posiadasz, \u015bledzenie nowych luk, ocena ich znaczenia dla firmy, terminy usuni\u0119cia, obs\u0142uga wyj\u0105tk\u00f3w i dokumentacja. Dzi\u0119ki temu najgro\u017aniejsze luki s\u0105 usuwane jako pierwsze, a nie przypadkiem.\"}}, {\"@type\": \"Question\", \"name\": \"Czy wystarczy \u0142ata\u0107 wy\u0142\u0105cznie podatno\u015bci z wysok\u0105 ocen\u0105 CVSS?\", \"acceptedAnswer\": {\"@type\": \"Answer\", \"text\": \"Nie. Ocena CVSS opisuje wa\u017cno\u015b\u0107 luki w oderwaniu od Twojego \u015brodowiska. Luka o \u015bredniej ocenie w us\u0142udze dost\u0119pnej z internetu, aktywnie wykorzystywana przez atakuj\u0105cych, mo\u017ce by\u0107 pilniejsza ni\u017c krytyczna luka w systemie odci\u0119tym od sieci. Priorytet ustalaj, \u0142\u0105cz\u0105c ocen\u0119 z ekspozycj\u0105 i warto\u015bci\u0105 danych.\"}}, {\"@type\": \"Question\", \"name\": \"Co zrobi\u0107, gdy dla podatno\u015bci nie ma jeszcze poprawki?\", \"acceptedAnswer\": {\"@type\": \"Answer\", \"text\": \"Zastosuj \u015brodki zast\u0119pcze: ogranicz dost\u0119p do us\u0142ugi regu\u0142ami firewalla, wy\u0142\u0105cz podatn\u0105 funkcj\u0119 lub odseparuj serwer w osobnym segmencie sieci. Zapisz wyj\u0105tek wraz z dat\u0105 ponownej oceny i wdr\u00f3\u017c poprawk\u0119, gdy tylko producent j\u0105 opublikuje.\"}}, {\"@type\": \"Question\", \"name\": \"Czy NIS2 wymaga zarz\u0105dzania podatno\u015bciami?\", \"acceptedAnswer\": {\"@type\": \"Answer\", \"text\": \"Tak. Obs\u0142uga i ujawnianie podatno\u015bci nale\u017c\u0105 do \u015brodk\u00f3w zarz\u0105dzania ryzykiem, kt\u00f3re znowelizowana ustawa o KSC, wdra\u017caj\u0105ca NIS2, nak\u0142ada na podmioty kluczowe i wa\u017cne. Audytor b\u0119dzie oczekiwa\u0142 nie tylko aktualnych system\u00f3w, ale te\u017c dowod\u00f3w, \u017ce proces dzia\u0142a w spos\u00f3b powtarzalny.\"}}]}<\/script><\/p>\n<hr class=\"ai-disclosure-rule\" \/>\n<p class=\"ai-disclosure\"><em>Artyku\u0142 powsta\u0142 z wykorzystaniem narz\u0119dzi sztucznej inteligencji (AI) pod nadzorem zespo\u0142u Sprint Data Center. Grafika ilustracyjna zosta\u0142a wygenerowana przez AI.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Zarz\u0105dzanie podatno\u015bciami na serwerach krok po kroku: inwentarz, \u017ar\u00f3d\u0142a informacji, priorytety, terminy \u0142atania i dowody dla audytora NIS2.<\/p>\n","protected":false},"author":5,"featured_media":3051,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[103,6],"tags":[349,350,92,109,302],"class_list":["post-3053","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-serwer-dedykowany","category-informacje-o-uslugach-sdc","tag-aktualizacje-bezpieczenstwa","tag-cve","tag-cyberbezpieczenstwo","tag-nis2","tag-zarzadzanie-podatnosciami"],"_links":{"self":[{"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/posts\/3053","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/comments?post=3053"}],"version-history":[{"count":1,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/posts\/3053\/revisions"}],"predecessor-version":[{"id":3054,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/posts\/3053\/revisions\/3054"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/media\/3051"}],"wp:attachment":[{"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/media?parent=3053"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/categories?post=3053"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sprintdatacenter.pl\/blog\/wp-json\/wp\/v2\/tags?post=3053"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}