Il patch management non è premere aggiorna appena compare una notifica. È decidere tempi, priorità, test minimi e finestre di intervento. La differenza tra ordine e caos sta quasi sempre nella pianificazione. Conviene separare aggiornamenti critici, aggiornamenti ordinari e aggiornamenti che richiedono test. Un server di produzione, un gestionale e un browser non hanno lo stesso rischio operativo. Per sapere cosa aggiornare serve un inventario IT. Per capire se qualcosa peggiora dopo l update serve monitoraggio essenziale. Prima di toccare sistemi importanti va controllato il backup 3-2-1. Quando un aggiornamento risponde a un rilievo di sicurezza, collega l'intervento alla verifica del risultato. La guida al report del penetration test e al retest spiega come distinguere una correzione pianificata da una verificata; la guida ai penetration test offre il quadro completo.