Наследените технологии, които трябва да бъдат премахнати

Планирането и тестването за надграждане е критично за ИТ инфраструктурата
(снимка: CC0 Public Domain)

Остарелите, наследени технологии все още са добре вкоренени в компаниите от много индустрии. Това може да доведе до смущения в бизнеса, кибератаки или дори проблеми с обществената безопасност.

Всички сме чували ужасяващи истории: Windows 7 в правителствата, критични мейнфрейм системи, които не могат да бъдат пенсионирани – колко ще продължи това? В един момент технологията остарява твърде много, за да бъде практична или дори безопасна, особено в критичната инфраструктура.

Рискове при надграждането

Ерих Крон, специалист в компанията за сигурност KnowBe4, смята, че наследеното оборудване, използвано за управление на захранване, вода и други критични инфраструктурни услуги, може да бъде трудно или непосилно скъпо за надграждане. Докато оборудването е проектирано да издържи 20, 30 или дори 50 години, преди да се наложи основен ремонт или подмяна, технологията, управляваща тези системи, бързо остарява.

„За критични системи дори обновяването на част от оборудването може да бъде предизвикателство. Много от тези системи са проектирани да преминат през срив, но ако бъдат изключени за актуализация или надстройка, вече са изложени на риск от критичен срив, следователно е рисковано да се прави това”, споделя Крон в интервю за Information Week.

Планирането и тестването за преоборудване и надграждане е критично за ИТ инфраструктурата. Липсата на планиране и задълбочено тестване може да остави населението без критична услуга като вода или електричество за дълго време, предупреждава специалистът.

Индустриалните системи за контрол отдавна са във фокуса на доставчиците и консултантите по киберсигурност, тъй като в зависимост от дизайна и разположението им, може да са податливи на кибер или физически въздействия.

„Вместо да се подменя всичко, трябва да се обмисли как да се защити това, което е на място. Изолирането на системите за контрол и тяхната мрежа и предоставянето на много ограничен достъп може да е дълъг път към защитата на системите”, казва Крон.

Ангажирането на експертите по киберсигурност при проектиране и промяна на методите за достъп до системата, особено отдалечените, и редовното провеждане на тестове за проникване могат да помогнат. „Като поставят модерни системи и контроли за сигурност пред старите, организациите имат по-добър шанс да държат лошите актьори далеч от наследените системи”, допълва специалистът.

Организациите, които съществуват от много десетилетия или повече от век, могат да разполагат със системи, които са толкова стари, че езиците за програмиране или хардуерът са забравени от всички, с изключение на няколко души. Документацията често липсва или е толкова остаряла, че е почти безполезна.

„Знам за един случай с медицинско оборудване, при който роботизирана ръка, използвана при тестване, се управлява от стар компютър [Intel] 386”, казва Крон. „Когато бяха доставени компютри 486, те откриха, че скоростта на движение на ръката е свързана с часовника на процесора в кода, така че новите компютри ще накарат роботизираната ръка да се повреди сама, защото се движи твърде бързо. Хората, които са написали кода, отдавна ги нямаше”.

Действайте преди да настъпи криза

Слав Кулик, главен изпълнителен директор и съосновател на компанията за разработка на софтуер Plan A Technologies, казва, че неговият персонал е видял някои „доста невероятни” примери за наследени технологии, които отдавна трябваше да бъдат пенсионирани.

“Нищо не трае вечно. Технологията, оставена сама, ще остарее до точката, в която вече не е практична, много по-малко надеждна или дори безопасна”, казва Кулик. „Има толкова много пари и толкова много време. Актуализирането на софтуер, който на пръв поглед изглежда, че работи безпроблемно, не е особено вълнуваща инициатива и [така] технологиите стават болезнено остарели”.

Тъй като закъсненията с актуализациите продължават, рисковете нарастват. И все пак, ако софтуерът или хардуерът все още работят, е лесно да станете жертва на фалшиво чувство за сигурност. Собствениците на фирми и мениджърите смятат, че могат да изчакат още малко, за да се справят с проблема, докато истината стане твърде очевидна, за да бъде игнорирана.

„Дотогава данните често се губят, системите се сриват, случват се пробиви в сигурността и всички други неприятни неща, от които всеки ИТ специалист се страхува, започват да се сбъдват”, казва Кулик.

„Това, което е разочароващо, е, че тези проблеми обикновено могат да бъдат предотвратени. Това е като да почувствате странна болка, но да не отидете на лекар, за да ви прегледа. Малко ранна превенция често може да се справи с това, което иначе може да се превърне в животозастрашаващо състояние”, коментира специалистът.

За да избегнат тази съдба, Кулик предлага на ИТ отделите да направят следното:

Разберете продължителността на живота на наследената технология. Ако не го направите, се подгответе за неприятна изненада.

Извършвайте редовен технически одит. В противен случай рискувате да останете на тъмно.

Разделете усилията на фази. Мисълта за извършване на мащабен основен ремонт често предизвиква паника. Но справянето с предизвикателството чрез поетапен подход позволява да правите по-малки стъпки и организацията да постигне стабилен напредък с управляемо темпо.

Обърнете внимание на данните. Подходът, управляван от данни, може да помогне за приоритизиране на това, което трябва да бъде разгледано, като се насочи към мястото, където модернизацията е най-спешна. Може дори да откриете неизползвани ресурси, което е добра новина.

Информирайте се за новите тенденции и иновации. Някои екипи нямат представа какви технологии са налични. Те продължават да правят нещата както преди 25 години, като пропускат безброй възможности за ефективност, сигурност, мащабируемост, намаляване на разходите и други подобрения.

Включете крайните потребители. Като получавате активно обратна връзка от крайните потребители, можете да си гарантирате, че създавате това, което трябва да създадете. Това също ви помага бързо да маркирате всички проблеми, които могат да възникнат по време на модернизацията.

„Уверете се, че никога не попадате в ситуация, при която се занимавате с тези въпроси само след като възникне проблем. Вместо това се уверете, че редовно питате: „Какво се прави, за да актуализираме нашата наследена технология или поне да се уверим, че все още функционира правилно?” Ако никой не знае отговора, бъдете нервни и ако никой дори не знае как да намери отговора, извикайте помощ!”, казва Кулик.

Пазете се от високоспециализирани системи

Консултантът по киберсигурност и технологии Майкъл Хасе казва, че основната причина за проблемите с наследените технологии обикновено са високоспециализирани системи от доставчици на трети страни. Проблемът е особено широко разпространен в производствения сектор, но също така и във физическата сигурност, като управление на вратите, системи за околната среда като HVAC, индустриални контроли и медицинско оборудване.

В тези индустрии има няколко доставчици с високи цени, които предлагат решения “всичко в едно”, и селекция от опции на по-ниски цени, които са подходящи за поставената задача.

„Уловката е, че специализираните системи имат специализирани процеси на разработка и, особено в случай на осигуряване на безопасност на живота, доста регулаторни обръчи, през които трябва да се премине, преди даден продукт да може да бъде продаден”, казва Хасе.

„Крайният резултат е, че тези доставчици просто не могат да бъдат в крак със скоростта на технологичните промени. Като такива, те са склонни да игнорират новите разработки, докато не бъдат принудени да го направят, и след това все още може да има няколко години забавяне, преди даден продукт да може да бъде внедрен на техните клиенти”, допълва той.

Междувременно екипите за технологична поддръжка се опитват да се справят със ситуацията по най-добрия възможен начин, като доста често избират да изолират напълно наследените системи или, ако трябва да бъдат свързани по някаква причина, предприемат екстремни мерки, за да контролират разрешените връзки.

„Голямата ирония е, че разходите за работа с продукти с по-ниско качество по-късно в техния жизнен цикъл са значително по-високи от спестяванията, получени от първоначалния избор за използването им. Това се усложнява, когато изобщо не се работи с тях, което потенциално води до нарушения и действителни щети”, казва Хасе.

„Накратко, дългосрочната поддръжка и сигурност трябва да бъдат едно от най-важните съображения при избора на доставчик, като се обръща внимание на предишния им опит в това отношение”, съветва той.

Заключение

Не е необичайно наследените технологии да надхвърлят срока за поддръжка от доставчиците. По същия начин частните наследени системи могат да пострадат, защото експертният опит, който ги е изградил, вече не е наличен или уменията, необходими за работа с тях, са малко и рядко срещани.

Въпреки че организациите надграждат около и върху тези системи, като например за осигуряване на мобилен достъп или по-модерни възможности, основната технология няма да продължи да съществува вечно. Истинските въпроси са колко дълго ще издържи наследената технология и как компанията, която я притежава, ще постигне плавен път на модернизация?