Hvorfor er penetrationstests en trussel mod ældre systemer?
Emanuel Böminghaus, ekspert i legacy-systemer, administrerende direktør i AvenDATA
Emanuel Böminghaus
ekspert i legacy-systemer, administrerende direktør i AvenDATA
I naturen frygter ældre systemer ikke vilde dyr. Deres største fjende lurer et helt andet sted: ved den næste penetrationstest. Det, der begynder som et rutinemæssigt sikkerhedstjek, viser sig stadig oftere at blive enden for systemer, der er kommet op i årene.
Efterhånden som antallet af cyberangreb vokser, satser virksomhederne i stigende grad på regelmæssige sikkerhedstjek. Og senest fem år efter den seneste større systemvedligeholdelse bliver det kritisk: Java- eller .NET-biblioteker er forældede, leverandørerne udsender ikke længere opdateringer, eller systemkomponenter er simpelthen ikke længere kompatible.
Hvorfor mange virksomheder nu gennemfører ugentlige penetrationstests
I en stadig mere digitaliseret verden, hvor nye sårbarheder opdages og udnyttes hver dag, er en årlig sikkerhedstest langtfra nok længere. Mange virksomheder især dem med kritisk infrastruktur eller regulatorisk pres gennemfører nu ugentlige penetrationstests eller automatiserede sårbarhedsscanninger. Målet er at identificere potentielle angrebsflader tidligt og minimere risici med det samme. For ældre systemer bliver denne frekvens dog hurtigt en belastningsprøve: Det, der i går lige akkurat gik igennem, dumper i dag, fordi forældede komponenter på stadig kortere tid bliver til reelle sikkerhedshuller.
Et ældre system, der dumper testen, er ikke længere holdbart
Fra dette punkt er der tre muligheder, og ingen af dem er behagelige:
- Investering i kostbare og ofte komplekse opdateringer, som næppe længere kan forsvares økonomisk, især hvis systemet alligevel kun drives på grund af dokumentations- eller bevarelsespligter.
- Man ignorerer resultatet og risikerer alvorlige sikkerhedshuller, som ved databrud eller hackerangreb hurtigt kan medføre juridiske og økonomiske konsekvenser.
- Eller man arkiverer systemet i overensstemmelse med reglerne for fortsat at sikre adgang til dataene. Revisionssikkert, compliant og væsentligt billigere end fortsat drift.
Konklusion: Den, der ikke arkiverer, løber en risiko
Penetrationstesten afdækker, hvad mange for længst har anet: Ældre systemer er sårbare. Den, der ikke arkiverer nu, risikerer snart at være ansvarlig for alvorlige sikkerhedshuller. I en tid med stigende trusselsbilleder er arkivering ikke længere blot et plus, men en integreret del af moderne it-sikkerhed.
Planlægger du at arkivere et ældre system?