Hvorfor er ét ældre system en risiko for virksomheder?
Emanuel Böminghaus, ekspert i legacy-systemer, administrerende direktør i AvenDATA
Emanuel Böminghaus
ekspert i legacy-systemer, administrerende direktør i AvenDATA
I mange virksomheder findes der i dag ikke længere en række gamle applikationer, men først og fremmest ét enkelt, meget vigtigt ældre system, som har kørt videre i årevis, selvom det ikke længere spiller nogen rolle i den daglige drift. Netop dette ene system medfører uforholdsmæssigt høje omkostninger, bringer IT-sikkerheden i fare og bliver en belastning for compliance, revision og drift. Virksomheder undervurderer ofte, hvor meget ét enkelt ældre system kan bremse hele IT-strategien.
Hvad kendetegner et enkelt ældre system?
Et ældre system er software, der ikke længere bruges aktivt, men som stadig indeholder data, der skal opbevares af juridiske eller driftsmæssige årsager. Det kan være et tidligere ERP-system, et tidligere HR- eller lønsystem, et historisk økonomisystem eller en selvudviklet applikation, hvis udvikler for længst har forladt virksomheden. Efter moderniseringer eller carve-outs bliver der ofte netop ét sådant ældre system tilbage, som ikke længere vedligeholdes, men heller ikke kan lukkes ned.
Hvorfor udgør ét enkelt ældre system en strategisk risiko?
Den centrale risiko opstår ofte, fordi der ikke længere findes opdateringer til systemet, og kritiske sikkerhedshuller derfor forbliver åbne permanent. Et enkelt ældre system kan dermed blive en indgangsport for malware eller uautoriseret adgang, især hvis der stadig er aktive gamle databaser, forældede serversystemer eller usikre grænseflader. IT-afdelingen mister desuden værdifuld tid, fordi vedligeholdelsen af et ældre system ofte kræver specialviden, som ikke længere findes internt. Så snart kontrolmyndigheder kræver indsigt, viser det sig, at ingen længere ved, hvordan systemet betjenes, eller hvilke datastrukturer der findes.
Også økonomisk belaster selv ét enkelt ældre system virksomheden. Udgifterne til servere, backup, licenser, vedligeholdelse, overvågning og intern support løber op over årene, selvom systemet ikke længere skaber nogen produktiv værdi. Mange virksomheder betaler her permanent femcifrede beløb om året, blot fordi det ældre system kører videre. Hertil kommer presset fra compliance. Data fra det ældre system skal forblive fuldstændige og tilgængelige på en revisionssikker måde, i visse tilfælde i ti år eller mere. Hvis den nødvendige fagkundskab ikke længere findes, opstår der juridiske risici, som senest bliver synlige ved en skatterevision.
Hvilke oplysninger i det ældre system er kritiske?
- Skatterelevante bogførings- og bevægelsesdata
- Personale- og lønningsdata fra tidligere lønår
- Bilag, dokumenter og vedhæftede filer
- Audit trails, logdata og systemrelevante protokoller
- Kommercielle dokumenter, der er omfattet af lovpligtige opbevaringsfrister
Da disse data ofte er omfattende og komplekse, skal de bevares i en form, der kan tilgås uden teknisk know-how. Det er netop ofte ikke længere sikret, når det ældre system stadig kører.
Sådan bør virksomheder håndtere ét enkelt ældre system
Første skridt er at analysere det ældre system fuldstændigt og fastslå, hvilke data det indeholder, hvilke lovkrav der gælder, og hvor længe oplysningerne skal opbevares. På baggrund af analysen kan man afgøre, om en migrering er nødvendig, eller om arkivering er den mest hensigtsmæssige løsning. I praksis viser det sig, at arkivering næsten altid er mere effektivt, fordi selve systemet derefter kan lukkes helt ned.
Efter beslutningen begynder den revisionssikre udtrækning af data. Den skal sikre, at alle tabeller, bilag, skærmbilleder og bevægelsesdata overføres fuldstændigt. Samtidig skal læsbarhed, eksportfunktioner og logning være sikret, så en revisor eller en kurator også år senere kan efterspore, hvilke data der dengang fandtes i det ældre system. Da der efter en konkurs som regel ikke længere er personale, der kan betjene den oprindelige applikation, er dette trin særligt vigtigt.
De udtrukne data stilles derefter til rådighed i et revisionssikkert arkivsystem. Arkivet giver mulighed for klart definerede adgangsrettigheder, logning, søgning, eksport og langsigtet, lovmedholdelig opbevaring. Først når disse krav er opfyldt, kan det oprindelige ældre system lukkes ned teknisk. Det omfatter nedtagning af serverne, fjernelse af gamle backups, opsigelse af licenser samt dokumentation af den endelige nedlukning.
Hvorfor bliver netop ét enkelt ældre system så ofte overset?
I mange virksomheder opstår problemet, fordi systemet blot »kører med«, og der ikke længere sker nogen aktiv brug. Der er ingen ansvarlig, ingen videreudvikling og ingen løbende kontrol. Derfor glemmes systemet let, mens det samtidig fortsat forårsager omkostninger og udgør en risiko. Jo længere tilstanden varer, desto større bliver risikoen for, at vigtige data går tabt, at kontroller slår fejl, eller at angribere udnytter sårbarheder.
Ét enkelt ældre system bør aldrig køre videre i baggrunden
Ét enkelt ældre system kan medføre betydelige økonomiske, juridiske og sikkerhedsmæssige risici. Virksomheder bør ikke blot drive ældre systemer videre, men analysere dem struktureret, udtrække data revisionssikkert og derefter lukke dem helt ned. Først da er både compliance og IT-sikkerhed sikret, og samtidig kan omkostningerne reduceres varigt.
Planlægger du at arkivere et ældre system?