Varför klarar legacysystem inte penetrationstestet?
Emanuel Böminghaus, expert på äldre system, Managing Director för AvenDATA
Emanuel Böminghaus
expert på äldre system,
Managing Director för AvenDATA
Managing Director för AvenDATA
I er IT-miljö behöver legacysystem sällan frukta externa rovdjur. Systemens största fiende finns någon helt annanstans och dyker ofta upp vid nästa penetrationstest. Det som börjar som en rutinmässig kontroll av er säkerhet blir allt oftare dödsstöten för era föråldrade plattformar.
I takt med att antalet cyberattacker ökar, väljer många verksamheter att satsa på regelbundna säkerhetsgranskningar. Inom fem år efter den senaste större uppdateringen av systemet blir läget ofta kritiskt. Era Java-bibliotek och andra ramverk är föråldrade. Leverantörerna släpper inga uppdateringar längre, och viktiga komponenter är inte kompatibla med varandra.
Varför många verksamheter numera testar sin säkerhet varje vecka
I en värld där nya sårbarheter upptäcks och utnyttjas varje dag, räcker det inte längre med en årlig säkerhetsgranskning. Många verksamheter, i synnerhet de med samhällskritisk infrastruktur eller höga regulatoriska krav, genomför numera penetrationstester eller automatiserade sårbarhetsskanningar varje vecka. Målet är att identifiera potentiella attackytor i ett tidigt skede och åtgärda riskerna omgående. För era legacysystem blir denna höga frekvens snabbt ett hårt stresstest. Det som klarade granskningen i går underkänns plötsligt i dag, eftersom föråldrade komponenter på allt kortare tid blir allvarliga säkerhetsbrister.
Ett legacysystem som underkänns i testet är inte längre hållbart
I det läget har ni tre alternativ, och inget av dem är problemfritt:
- Ni investerar i dyra och ofta komplexa uppdateringar som knappast kan motiveras ekonomiskt. Detta gäller särskilt om systemet bara hålls vid liv för att ni ska kunna uppfylla bokföringslagens krav och andra lagstadgade krav på dokumentation.
- Ni blundar för resultatet och riskerar säkerhetsluckor som kan leda till dataintrång, brott mot dataskyddsförordningen (GDPR) och förödande juridiska och ekonomiska konsekvenser.
- Ni arkiverar systemet i enlighet med gällande regelverk och säkerställer att ni fortfarande har tillgång till alla viktiga data. Arkiveringen är revisionssäker och stödjer full regelefterlevnad, samtidigt som den är betydligt billigare än fortsatt drift.
Sammanfattning: den som inte arkiverar tar en stor risk
Ett penetrationstest avslöjar ofta det som många redan misstänker: att era legacysystem är extremt sårbara. Den som inte väljer att arkivera nu riskerar att snart ställas till svars för säkerhetsbristerna. I en tid då hotbilden ständigt växer, är arkivering inte längre en bonus, utan en självklar del av modern informationssäkerhet.
Planerar ni att arkivera ett legacysystem?