Saldırıların önemli bir kısmı, yaması aylar hatta yıllar önce yayımlanmış bilinen açıkları hedefler. Bu yüzden yama yönetimi, bir kurumun güvenlik programındaki en etkili ve en temel kontrollerden biridir.
İyi bir yama süreci şunları içerir:
- Envanter: Hangi sistemde hangi yazılım ve sürüm var?
- İzleme: Üretici bültenleri, CVE ve CISA KEV duyuruları.
- Önceliklendirme: İnternete açık sistemler ve aktif istismar edilen açıklar önce.
- Test: Kritik sistemlerde önce test ortamında deneme.
- Uygulama: Belirlenen hizmet sürelerine (ör. kritik açıklar için kısa süre) uygun dağıtım.
- Doğrulama: Taramayla yamanın gerçekten uygulandığını kontrol etme.
Desteği bitmiş (end-of-life) ve artık yama almayan sistemler ayrıca listelenmeli, yalıtılmalı ve değiştirilme planına alınmalıdır.