En stor del av de organisationer som drabbats av ett dataintrång kunde spåra det till en känd sårbarhet som redan hade en patch tillgänglig. Fixen fanns. Ett versionsnummer hade släppts. Ingen installerade det. Den enskilda siffran, som dyker upp gång på gång i obduktioner av intrång, är den tystaste och dyraste sanningen i mjukvara: faran är sällan någon exotisk nolldagssårbarhet. Det är uppdateringen du aldrig hann med.
Lansering känns som en mållinje. Sajten går live, teamet andas ut, fakturan betalas. Men koden du levererade började åldras i samma stund som den gick i produktion. Här är vad som faktiskt händer under månaderna efteråt, och varför just den del ingen budgeterar för brukar vara den som biter ifrån.
Du skriver inte det mesta av din mjukvara, och det är problemet
En modern webbapp består mest av andras kod. Merparten av en typisk applikation är öppen källkod, ramverk, bibliotek och de bibliotek som de biblioteken i sin tur drar in. Datan i 2024 State of the Software Supply Chain visade att 86 % av företagens kodbaser innehöll minst en känd sårbar komponent med öppen källkod, och att mer än nio av tio kodbaser bar på komponenter som var flera år föråldrade.
De beroendena står inte stilla. De släpper säkerhetspatchar, fixar buggar och gör ibland brytande ändringar. Hoppa över uppdateringarna i ett år så kör du inte stabil, färdig mjukvara, du kör ett museiföremål som angriparna redan har kartan till. Cirka 14 000 skadliga paket upptäcktes i populära register bara i slutet av 2024, en kraftig ökning på ett år. Leveranskedjan du ärvde vid lansering fortsätter röra på sig vare sig du tittar eller inte.
Klockan går snabbare än du tror
Här är den obekväma tajmingen. Mediantiden för angripare att utnyttja en nyligen avslöjad sårbarhet sjönk till ungefär ett dygn 2024. Den genomsnittliga organisationen tar samtidigt runt 58 dagar på sig att åtgärda, och för vissa branscher sträcker sig kritiska fixar förbi 130 dagar. Läs de två siffrorna tillsammans: angriparna rör sig på 24 timmar, försvararna på två månader. Det glappet är där intrången bor, och det vidgas för varje dag ett system lämnas utan tillsyn.
Det handlar inte bara om säkerhet. Webbläsare uppdateras med några veckors mellanrum. Mobila operativsystem släpps årligen och fasar ut API:er. Betalleverantörer ändrar sina krav. Ett kassaflöde som fungerade perfekt vid lansering kan tyst gå sönder för att Safari ändrade hur det hanterar en cookie, inte för att någon rörde din kod. Mjukvara förfaller inte för att den byggdes dåligt, utan för att världen runt omkring den fortsätter förändras.
Vad försummelse faktiskt kostar
Notan för att ignorera allt detta är inte teoretisk. En enda timmes IT-driftstopp är dyrt för medelstora och stora företag, och för många hamnar kostnaden i miljonklassen i timmen. De flesta av de avbrotten är inte dramatiska attacker. Det är utgångna certifikat, ett olagat bibliotek som till slut gav vika, en beroendekonflikt som ingen bevakade.
Den grymma matematiken är att underhåll är billigt och försummelse dyrt, men underhåll syns på fakturan och försummelse är osynligt ända tills det inte är det. Att hoppa över ett par timmars patchning varje månad känns som en besparing ända fram till morgonen då kassan ligger nere mitt under en kampanj.
Så tänker vi på True Dev
Vi har byggt mjukvara sedan 1997, tillräckligt länge för att ha sett gott om "färdiga" projekt tyst ruttna i brist på någon som sköter dem. Därför behandlar vi en lansering som början på en relation, inte slutet på ett uppdrag. Beroenden uppdateras i en jämn takt. Säkerhetsråd sorteras innan de blir incidenter. När en webbläsare eller ett OS flyttar marken under fötterna justerar vi innan användarna märker något.
Mjukvara är något levande. Den behöver mat. Den billigaste varianten av det är jämn, tråkig, fortlöpande vård, den sorten som gör att du aldrig får telefonsamtalet klockan två på natten. Om du planerar något nytt, prata med oss om att starta ett projekt på rätt sätt, och titta gärna på hur vi lägger upp löpande tjänster så att lanseringsdagen blir början på ett långt, händelselöst liv, inte en nedräkning till första driftstoppet.
