L’uso di software non aggiornato: implicazioni e normative
Perché è importante conoscere se nei propri ambienti è presente software non aggiornato: implicazioni, normative e casi d’uso come SQL Server 2014.
Come ogni anno, ci troviamo di fronte al momento in cui alcune delle versioni software installate negli ambienti IT di tutto il mondo – siano essi software di sistema o applicativi – giungono al termine del loro ciclo di vita. Il 2024 non fa eccezione: diverse piattaforme che molti di noi utilizzano quotidianamente non riceveranno più aggiornamenti di sicurezza o supporto ufficiale. È quindi il momento di prepararsi al passaggio verso le versioni più recenti.
Ecco le 10 versioni software più diffuse che andranno fuori supporto nel 2024:
Quando un software raggiunge la fine del supporto, il produttore smette di rilasciare aggiornamenti di sicurezza. Ciò significa che eventuali nuove vulnerabilità scoperte non verranno corrette, lasciando il software esposto a intrusioni.
Queste vulnerabilità nei software non supportati spesso sono ben documentate, conosciute e rilevate da hacker e criminali informatici anche grazie a strumenti avanzati di Intelligenza Artificiale, che permettono loro di sfruttarle facilmente per lanciare attacchi mirati.
L’esposizione, oltre a minare la continuità operativa (interruzioni, integrazioni con altre tecnologie ecc.), contravviene anche alla conformità normativa. In Italia le aziende sono soggette a normative stringenti che richiedono la necessità di prevedere aggiornamenti di sicurezza.
Vediamone alcune:
Anche se il GDPR è una normativa europea, è direttamente applicabile in tutti gli Stati membri dell’Unione Europea, Italia inclusa. Essa richiede che i sistemi utilizzati per gestire i dati sensibili siano sicuri e aggiornati, nello specifico nell’articolo 32. Le organizzazioni DEVONO adottare misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. Questo include l’aggiornamento regolare del software per proteggere i dati personali contro accessi non autorizzati, perdita o distruzione.
Allo stesso modo il CAD (D. Lgs. 7 marzo 2005, n. 82) stabilisce che le pubbliche amministrazioni debbano adottare misure di sicurezza informatica per proteggere i dati e i sistemi.
Questo decreto, che recepisce la Direttiva NIS (Network and Information Security) dell’Unione Europea, impone obblighi di sicurezza informatica agli operatori di servizi essenziali e fornitori di servizi digitali, incluso l’obbligo di mantenere aggiornato il software.
Poi ci sono normative specifiche per settori regolamentati, come il settore bancario, finanziario e sanitario. Ad esempio, il Regolamento DORA, adottato dall’Unione Europea, si concentra principalmente sulla resilienza operativa digitale delle istituzioni finanziarie.
Una delle componenti chiave di DORA è l’obbligo per le entità finanziarie di mantenere una robusta capacità di resistenza agli incidenti informatici, inclusa la gestione delle vulnerabilità e l’aggiornamento regolare dei sistemi software per garantire la sicurezza (vedi articolo 10).
Anche se non è una normativa, bensì una best-practice, sono molte le aziende italiane che adottano lo standard ISO/IEC 27001 per la gestione della sicurezza delle informazioni. Questo standard richiede che le organizzazioni adottino un processo per gestire i rischi di sicurezza delle informazioni, incluso l’aggiornamento regolare del software.
È indispensabile monitorare le versioni di software in uso sui propri sistemi: in WEGG siamo consulenti esperti di IT Asset Management e in particolare di gestione delle licenze software. Attraverso sistemi SAM avanzati offriamo una visione chiara di quale software è in uso, facilitando la pianificazione e l’applicazione delle patch di sicurezza necessarie per ridurre le vulnerabilità.
In particolare, lo strumento Risk Monitor del nostro partner Flexera è in grado di aumentare il grado di consapevolezza riguardo il software vulnerabile: grazie all’integrazione con il database NVD è in grado di combinare le informazioni relative ai rischi di sicurezza con i dati rilevati dall’inventario in modo da mostrare dove ci sono vulnerabilità che devono essere immediatamente patchate.
Oltre a fornire report che aiutano i team di Security e Operations a impostare dei processi continui di mitigazione del rischio legato al software vulnerabile o non più supportato (ne abbiamo parlato qui), siamo in grado di guidare le decisioni che accompagnano il replacement di software non più supportato.
Sono disponibili, infatti, diverse opzioni, tra cui la migrazione, l’aggiornamento e le sottoscrizioni, ma anche la valutazione di attivare il supporto esteso.
Non sempre l’aggiornamento è possibile: prendiamo come esempio il caso di un nostro cliente che aveva Windows 7. La fine del supporto esteso era prevista per il 14 gennaio 2020, ma avendo software su Windows 7 che non faceva in tempo a migrare, ha deciso con il nostro supporto di aderire al programma di Extended Security Updates (ESU) per le aziende che avevano bisogno di più tempo per migrare a un sistema operativo più recente (c’era tempo fino al 10 gennaio 2023).
Avendo guadagnato del tempo per la gestione delle tecnologie non più supportate, poi è stato possibile migrare il sistema operativo in poco tempo al nuovo Windows 8 grazie ai nostri sistemi di gestione centralizzata degli endpoint (vedi la nostra area Work from Anywhere).
Prendiamo come esempio SQL Server 2014, che ha raggiunto il suo EOL e iniziato la fase di Extended Security Updates (ESU) il 9 luglio 2024. Come possono le aziende gestire il fatto che non è più previsto il supporto esteso?
Una volta rilevate le versioni SQL Server 2014 in uso sui propri sistemi tramite la scansione con strumenti SAM avanzati, le aziende possono valutare tutte le opzioni a loro disposizione.
Vediamone alcune:
Si può decidere di migrare ad Azure SQL, che utilizza lo stesso motore di SQL Server: questo renderebbe la migrazione più semplice. Si possono utilizzare gli stessi strumenti, linguaggi e risorse a cui si è abituati, ma con maggiore efficienza e accessibilità nel cloud. Inoltre, Azuresi aggiorna automaticamente, quindi in futuro non sarà più necessario preoccuparsi di aggiornamenti.
In alternativa, è possibile spostare i carichi di lavoro SQL Server nel cloud su una macchina virtuale Azure per non dover fare modifiche al codice o all’architettura e beneficiare degli aggiornamenti di sicurezza estesi gratuiti.
Si può altrimenti usare anche SQL Server on-premises aggiornandolo a una versione più recente e supportata, come SQL Server 2016 o 2019. L’aggiornamento va fatto in ordine, una versione alla volta.
Quali valutazioni bisogna fare:
I clienti che si qualificano per la Software Assurance nell’ambito di un Enterprise Agreement (EA) possono acquistare e distribuire le ESU tramite Azure Arc, sia in ambienti on-site che cloud. Le ESU di Azure Arc offrono una maggiore adattabilità, consentendovi di decidere i passi successivi secondo i vostri ritmi.
Qualunque sia la scelta, se mantenere la configurazione attuale pagando una ESU, aggiornare a una versione più recente o passare al cloud, l’importante è procedere alla messa in sicurezza dei sistemi post EOL di SQL Server 2014 in modo da proteggere i dati e rispettare le normative.
Approfondimenti
I NOSTRI UFFICI
I NOSTRI UFFICI
PADOVA
Via Arnaldo Fusinato 42, 35137
MILANO
Viale Enrico Forlanini 23, 20134
ROMA
Viale Giorgio Ribotta 11, 00144
Copyright © 2022 WEGG S.r.l. • P.I 03447430285 • C.F. 02371140233 • REA 311023
Azienda certificata ISO 9001:2015
