Риски устаревшего ПО: управление и безопасность

Даже в современном цифровом мире множество компаний продолжают использовать программное обеспечение, которое давно устарело. Некоторые системы, такие как бронирование авиабилетов или обработка налоговых данных, работают ещё с 1960-х годов. Хотя они могут выполнять свои функции, отсутствие поддержки и обновлений делает их уязвимыми.

Программное обеспечение, которое больше не получает обновлений безопасности, считается достигшим конца жизненного цикла. Хрестоматийный пример — операционные системы Windows. Несмотря на то что Windows 11 и Windows 10 доминируют на рынке, более старые версии, включая Windows XP, до сих пор используются. XP официально прекратила поддержку в 2014 году, однако до сих пор встречается в некоторых организациях.

Почему компании не переходят на современные решения? Причины разнообразны: банкротство разработчика, нежелание тратить средства на обновление, риск нарушения бизнес-процессов или банальное забвение старых систем.

Игнорирование проблемы влечёт серьёзные риски. Почти половина уязвимостей из списка CISA связана с устаревшим ПО, а каждая пятая критическая система содержит программы с высоким уровнем риска.

Эффективное управление такими активами требует чёткого понимания:

— Что именно работает в инфраструктуре;
— Кто отвечает за каждое приложение;
— Какие угрозы оно может нести.

Рекомендуется отслеживать жизненный цикл программ, готовить отчёты о приближающемся окончании поддержки и рассчитывать стоимость потенциальных инцидентов. Это позволяет сравнивать затраты на миграцию с рисками простоя или кибератаки.

Самые сложные случаи связаны с критически важными приложениями, от которых напрямую зависит выручка. Полная остановка таких систем часто невозможна, но даже здесь есть возможности для манёвра. Например, использовать плановые простои, такие как смена смен на производстве, для постепенного обновления.

Если замена невозможна, применяются меры защиты: изоляция сетей, файрволы, ограничение доступа. Важно понимать уязвимости системы и искать альтернативы патчингу.

Для убеждения руководства стоит переводить риски в денежный эквивалент. Бизнес привык оценивать угрозы в финансовых терминах — этот подход работает и здесь.

Любое программное обеспечение рано или поздно устаревает. Ключ к успеху — снижение зависимости от конкретных систем, планирование и обоснование необходимости изменений на языке бизнеса.