Du kan patche hvert eneste endepunkt på den største Patch Tuesday i historien og likevel la enhetsparken stå eksponert – fordi konfigurasjonsavvik på endepunktene er den halvdelen av eksponeringen en patch aldri berører. Juli 2026 ga oss den rekorden: Microsoft leverte rettelser for rekordmange 570 CVE-er, drevet fram av et nytt KI-system for å oppdage sårbarheter. Men den viktigste lærdommen var ikke volumet. Det var hvordan de utnyttede sårbarhetene ble håndtert: ikke med en patch alene.
Da angripere begynte å utnytte en nulldagssårbarhet i SharePoint, ba ikke CISA bare teamene om å patche – byrået oppfordret dem til å herde: aktivere ekstra skanning av forespørsler, blokkere ekstern tilgang til administrasjonsgrensesnitt, rotere nøkler og lete etter tegn på inntrenging, med en advarsel om at en patch alene ikke nødvendigvis kaster ut en angriper som allerede er inne. Rådet gjaldt lokale servere, men prinsippet er universelt. Eksponering er patcher pluss konfigurasjon. Og i enhetsparken er det konfigurasjonssiden de fleste team ikke ser.
Hvorfor patching bare lukker halvparten av eksponeringen
Patching svarer på ett spørsmål: Hvilke kjente sårbarheter er ikke utbedret? Det er helt nødvendig – og med slike volumer er det å avgjøre hva som skal utbedres først en disiplin i seg selv. Men selv en perfekt patchet og perfekt prioritert enhetspark kan befinne seg i en usikker tilstand.
Konfigurasjonsavvik er enhetenes gradvise bevegelse bort fra en sikker baseline, selv når de er fullt patchet. En brannmur som ble slått av under feilsøking og aldri slått på igjen. Diskkryptering som er deaktivert på en bærbar PC som er reinstallert. En Windows Update-tjeneste som er satt på pause «midlertidig». Et lokalt policyunntak som har overlevd sin egen begrunnelse. Ingen av disse er en manglende patch, så patchrapportene viser grønt mens enheten i det stille forblir en del av angrepsflaten din. Avvik bygger seg opp én liten endring om gangen, og de kan utnyttes lenge etter at den siste oppdateringen ble installert.
Slik synliggjør du konfigurasjonsavvik på endepunktene
CapaOne Security Monitor synliggjør konfigurasjonssiden fra én konsoll. Ved siden av CVE-eksponering viser den signalene som avslører avvik – brannmurstatus, krypteringsstatus, status for Windows Update – på alle endepunkter, slik at IT-avdelingen ser hvor enheter har beveget seg bort fra en sikker baseline, i stedet for å anta at en grønn patchrapport betyr en herdet enhetspark. Security Monitor er et verktøy for innsikt og dokumentasjon, ikke en SIEM eller en EDR – den jakter ikke på trusler, men viser deg hvor du er eksponert, og lar deg dokumentere det.
Den dokumentasjonen har betydning utover driften. Moderne rammeverk forventer i økende grad at virksomheter kan vise at kontrollene forblir effektive over tid – ikke bare at patchene er installert. Når en revisor eller et cyberforsikringsselskap ber deg dokumentere herding i stedet for bare å påstå den, eksporterer Security Monitor revisjonsklar dokumentasjon ved behov – hva som har avveket, hvor og når – med GDPR først og et sikkerhetsnivå i tråd med NIS2.
Én oversikt over hele enhetsparken – uansett hvordan du patcher
Security Monitor dekker hele enhetsparken på egen hånd, i én konsoll, uten avhengighet av Intune. Hvis du allerede patcher via Intune eller Windows Autopatch, gir CapaOne deg det de ikke dekker: oversikt over konfigurasjon og avvik i hele enhetsparken, med eller uten Intune, med dine eksisterende Entra ID-grupper. Patchekjeden blir værende der den er; konfigurasjonssiden blir endelig noe du kan se.
Eksponeringen er større enn patchkøen din
KI-drevet oppdagelse av sårbarheter betyr at patchvolumene kommer til å fortsette å stige – en måned som juli er et gulv, ikke et tak. Teamene som holder seg i forkant, blir ikke de som patcher raskest. Det blir de som også ser hvor konfigurasjonen har avveket, og som kan dokumentere at de har lukket avvikene. Patching vil alltid være halve jobben. Den andre halvdelen er innsikt.
Book en demo av CapaOne-plattformen og se hvor din egen enhetspark har avveket fra en sikker baseline, ikke bare hvilke patcher den mangler.