修补软件缺陷通常是一项耗时且繁琐的工作，但组织需要制定明确的策略，以最大限度地降低决定何时，甚至更新重要企业系统所涉及的潜在风险。
网络攻击者将通过部署针对这些特定漏洞的攻击的恶意软件，定期寻求利用未收到最新安全更新的系统。这可能是对特定公司的故意攻击的一部分，或者组织可能陷入利用特定漏洞利用的更普遍攻击的交叉攻击中。
例如， WannaCry利用了EternalBlue，这是一个漏洞，全球各组织在2017年5月的活动发布时尚未修补。如果受到攻击影响的所有组织在发布时修补了他们的系统 - 而不是忽略对其的警告。所以 - WannaCry可能会产生更小的影响。
确定哪些系统需要更新，什么时候对技术主管来说是一个挑战。
Hargreaves Lansdown首席信息官Jonathan Kidd表示：“有些事情你需要立即进行修补。可能还有其他一些事情你需要进行非常强大的分析，你需要对此作出决定。”
还有一些补丁的问题 可能会在应用时引起无意的问题或中断 - 这可能会阻止组织应用它们，特别是对关键业务系统。
“你的修补周期将受到你房产风险的驱动，在某些情况下，安装中断的风险可能更大，”基德在伦敦举行的2019年欧洲信息安全小组会议期间发表讲话说。
但是对于某些系统来说，甚至应用补丁的想法也是一个挑战 - 一些组织运行他们担心脱机的应用程序和操作并不是未知的，因为他们担心如果更新它们可能不会重新上线。
Ewa Pilat说：“有一些网络遗产无法修补，系统已经老化了20年，带有一张纸条 - 请不要碰，因为我们不知道会发生什么。”捷豹路虎全球首席信息安全官，尽管她明确表示这不是汽车制造商的问题。
“对于这些，你可以有一些额外的安全控制，但不是所有系统都可以修补，因此风险需要适当的分析和评估来决定什么，何时以及如何，”她补充说。
花时间进行评估可以 大大有助于确定“皇冠上的宝石”以及需要立即采取的行动 - 而不是可以延迟或在某些情况下不采取的行动 - 如果系统完全是例如，隔离。
“这就是进行风险评估的重要原因。如果你有一个新的产业，你应该立即修补。但如果你有遗留系统，你可能采取更谨慎的方法，”基德说。