¿Por qué los sistemas heredados no superan las pruebas de penetración?
Emanuel Böminghaus, Experto en sistemas heredados y Director General de AvenDATA
Las plataformas heredadas no temen a los depredadores salvajes. Su mayor enemigo acecha en un lugar muy distinto: la próxima prueba de penetración. Lo que comienza como una auditoría de seguridad de rutina se convierte, cada vez con más frecuencia, en una sentencia de muerte para los sistemas obsoletos.
Ante el aumento constante de los ciberataques, las empresas apuestan por realizar controles de ciberseguridad periódicos. A más tardar cinco años después de la última actualización importante del sistema, la situación se vuelve crítica: las bibliotecas de Java o .NET han quedado desfasadas, los desarrolladores ya no publican actualizaciones o los componentes del sistema han dejado de ser compatibles entre sí.
¿Por qué muchas empresas ya realizan pruebas de seguridad cada semana?
En un mundo cada vez más digitalizado, donde a diario se descubren y explotan nuevas vulnerabilidades, una prueba de seguridad anual ya no es suficiente. Hoy en día, muchas empresas especialmente aquellas con infraestructuras críticas o sujetas a una fuerte presión regulatoria realizan pruebas de penetración o escaneos automatizados de vulnerabilidades cada semana. El objetivo es identificar a tiempo las posibles superficies de ataque y reducir los riesgos de inmediato. Sin embargo, para los sistemas heredados, esta frecuencia se convierte rápidamente en una exigencia imposible de cumplir. Lo que ayer apenas aprobaba, hoy reprueba, porque los componentes obsoletos se convierten en vulnerabilidades graves en muy poco tiempo.
Un sistema obsoleto que no supera la prueba deja de ser viable
Llegados a este punto, existen tres opciones, y ninguna de ellas es agradable:
- Invertir en actualizaciones costosas y, a menudo, complejas, que apenas tienen justificación económica. Esto es especialmente cierto cuando el sistema se mantiene en operación únicamente para cumplir con las obligaciones de conservación de documentos que exigen las autoridades fiscales.
- Ignorar los resultados y asumir vulnerabilidades críticas que, en caso de un ciberataque o de una infracción de la legislación de protección de datos, pueden derivar rápidamente en graves consecuencias legales y financieras.
- Archivar el sistema en estricto cumplimiento del marco legal para seguir garantizando el acceso de la empresa a sus datos. Se trata de un proceso seguro, apto para auditorías, plenamente conforme con la normativa y considerablemente más económico que mantener la plataforma en funcionamiento.
Conclusión: quien no archiva asume riesgos innecesarios
La prueba de penetración pone de manifiesto lo que muchos sospechan desde hace tiempo: los sistemas heredados son sumamente vulnerables. Quien no archiva hoy corre el riesgo de ser responsable de graves brechas de seguridad en un futuro cercano. En tiempos en que las ciberamenazas crecen sin cesar, el archivado de sistemas heredados ha dejado de ser opcional y se ha convertido en un pilar fundamental de la ciberseguridad moderna.
¿Tiene previsto archivar un sistema heredado?