L’uso di software non aggiornato: implicazioni e normative
Perché è importante conoscere se nei propri ambienti è presente software non aggiornato: implicazioni, normative e casi d’uso come SQL Server 2014.
Come ogni anno, ci troviamo di fronte al momento in cui alcune delle versioni software installate negli ambienti IT di tutto il mondo – siano essi software di sistema o applicativi – giungono al termine del loro ciclo di vita. Il 2024 non fa eccezione: diverse piattaforme che molti di noi utilizzano quotidianamente non riceveranno più aggiornamenti di sicurezza o supporto ufficiale. È quindi il momento di prepararsi al passaggio verso le versioni più recenti.
Ecco le 10 versioni software più diffuse che andranno fuori supporto nel 2024:
- Microsoft Windows Server 2012/2012 R2
Pubblicato nel settembre 2012, queste celebri versioni di sistema operativo server di Microsoft hanno servito le aziende per oltre un decennio. Con la fine del supporto prevista per il 10 ottobre 2024, è il momento di pianificare la migrazione a versioni più recenti per garantire la sicurezza e la continuità operativa.
- Microsoft SQL Server 2014
Rilasciato nel giugno 2014, SQL Server 2014 è stato una pietra miliare per la gestione dei database. Con la fine del supporto del 9 luglio 2024, è essenziale considerare l’aggiornamento per mantenere i database sicuri e ottimizzati.
- Oracle Database 12c
Rilasciato nel giugno 2013, è stato un punto di riferimento per la gestione dei dati aziendali. Il supporto finirà il 30 giugno 2024, il che rende essenziale l’aggiornamento a versioni più recenti, come Oracle Database 19c o 21c, per garantire prestazioni e sicurezza.
- Oracle Java SE 8.
Pubblicato nel marzo 2014, Java SE 8 è stato ampiamente adottato per lo sviluppo di applicazioni. Con il supporto che terminerà il 31 dicembre 2024, è tempo di considerare il passaggio a versioni più recenti di Java per continuare a ricevere aggiornamenti di sicurezza.
- VMware Converter 6.3.
Il supporto per VMware Converter 6.3 è terminato il 30 giugno 2024. Questo prodotto, che permette la conversione di workload fisici e virtuali in macchine virtuali VMware, è stato aggiornato per garantire la compatibilità con le versioni più recenti di vSphere e migliorare gli standard di sicurezza.
- Microsoft Visual Studio 2013
Il supporto esteso è terminato il 9 aprile 2024. Visual Studio 2013 è stato un ambiente di sviluppo integrato molto popolare per la creazione di applicazioni su piattaforme Microsoft. È importante aggiornare a una versione più recente, come Visual Studio 2019 o successive, per garantire che le applicazioni siano sviluppate in un ambiente sicuro e supportato.
- Dynamics CRM 2013
Il supporto esteso per questa versione di Dynamics CRM è terminata il 9 gennaio 2024. È una piattaforma utilizzata per la gestione delle relazioni con i clienti in molte aziende. È essenziale aggiornare a una versione più recente, come Dynamics 365: l’’aggiornamento è fondamentale per proteggere i dati sensibili dei clienti, migliorare l’efficienza operativa e rimanere competitivi grazie alle nuove tecnologie di automazione e intelligenza artificiale integrate in Dynamics 365.
- IBM Power8
Il supporto esteso per i server Power8 terminerà tra marzo e ottobre 2024, a seconda del modello specifico. Questi server sono stati utilizzati in ambienti aziendali critici per una varietà di carichi di lavoro ed è necessario prevedere alternative più sicure.
- Adobe ColdFusion 2018
Utilizzato ampiamente per lo sviluppo di applicazioni web e back-end in molte aziende, specialmente in settori che richiedono applicazioni robuste e scalabili, ha raggiunto la fine del supporto esteso il 13 luglio 2024. È apprezzato per la sua capacità di gestire applicazioni critiche per il business con elevati requisiti di prestazioni e affidabilità.
- Adobe Connect 10.6.
Il supporto esteso per questa piattaforma nelle aziende per conferenze web, e-learning e webinar è previsto per terminare il 17 novembre 2024. È importante considerare l’aggiornamento a una versione più recente, come Adobe Connect 11.x, per rendere l’esperienza utente più fluida e sicura.
Perché è necessario conoscere il software non più supportato sui propri ambienti
Quando un software raggiunge la fine del supporto, il produttore smette di rilasciare aggiornamenti di sicurezza. Ciò significa che eventuali nuove vulnerabilità scoperte non verranno corrette, lasciando il software esposto a intrusioni.
Queste vulnerabilità nei software non supportati spesso sono ben documentate, conosciute e rilevate da hacker e criminali informatici anche grazie a strumenti avanzati di Intelligenza Artificiale, che permettono loro di sfruttarle facilmente per lanciare attacchi mirati.
L’esposizione, oltre a minare la continuità operativa (interruzioni, integrazioni con altre tecnologie ecc.), contravviene anche alla conformità normativa. In Italia le aziende sono soggette a normative stringenti che richiedono la necessità di prevedere aggiornamenti di sicurezza.
Vediamone alcune:
- il Regolamento Generale sulla Protezione dei Dati (GDPR)
Anche se il GDPR è una normativa europea, è direttamente applicabile in tutti gli Stati membri dell’Unione Europea, Italia inclusa. Essa richiede che i sistemi utilizzati per gestire i dati sensibili siano sicuri e aggiornati, nello specifico nell’articolo 32. Le organizzazioni DEVONO adottare misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. Questo include l’aggiornamento regolare del software per proteggere i dati personali contro accessi non autorizzati, perdita o distruzione.
- il Codice dell’Amministrazione Digitale (CAD)
Allo stesso modo il CAD (D. Lgs. 7 marzo 2005, n. 82) stabilisce che le pubbliche amministrazioni debbano adottare misure di sicurezza informatica per proteggere i dati e i sistemi.
- la Legge sulla sicurezza cibernetica (D. Lgs. 65/2018)
Questo decreto, che recepisce la Direttiva NIS (Network and Information Security) dell’Unione Europea, impone obblighi di sicurezza informatica agli operatori di servizi essenziali e fornitori di servizi digitali, incluso l’obbligo di mantenere aggiornato il software.
Poi ci sono normative specifiche per settori regolamentati, come il settore bancario, finanziario e sanitario. Ad esempio, il Regolamento DORA, adottato dall’Unione Europea, si concentra principalmente sulla resilienza operativa digitale delle istituzioni finanziarie.
Una delle componenti chiave di DORA è l’obbligo per le entità finanziarie di mantenere una robusta capacità di resistenza agli incidenti informatici, inclusa la gestione delle vulnerabilità e l’aggiornamento regolare dei sistemi software per garantire la sicurezza (vedi articolo 10).
Anche se non è una normativa, bensì una best-practice, sono molte le aziende italiane che adottano lo standard ISO/IEC 27001 per la gestione della sicurezza delle informazioni. Questo standard richiede che le organizzazioni adottino un processo per gestire i rischi di sicurezza delle informazioni, incluso l’aggiornamento regolare del software.
Cosa possiamo rilevare e gestire il software non più supportato
È indispensabile monitorare le versioni di software in uso sui propri sistemi: in WEGG siamo consulenti esperti di IT Asset Management e in particolare di gestione delle licenze software. Attraverso sistemi SAM avanzati offriamo una visione chiara di quale software è in uso, facilitando la pianificazione e l’applicazione delle patch di sicurezza necessarie per ridurre le vulnerabilità.
In particolare, lo strumento Risk Monitor del nostro partner Flexera è in grado di aumentare il grado di consapevolezza riguardo il software vulnerabile: grazie all’integrazione con il database NVD è in grado di combinare le informazioni relative ai rischi di sicurezza con i dati rilevati dall’inventario in modo da mostrare dove ci sono vulnerabilità che devono essere immediatamente patchate.
Oltre a fornire report che aiutano i team di Security e Operations a impostare dei processi continui di mitigazione del rischio legato al software vulnerabile o non più supportato (ne abbiamo parlato qui), siamo in grado di guidare le decisioni che accompagnano il replacement di software non più supportato.
Sono disponibili, infatti, diverse opzioni, tra cui la migrazione, l’aggiornamento e le sottoscrizioni, ma anche la valutazione di attivare il supporto esteso.
Non sempre l’aggiornamento è possibile: prendiamo come esempio il caso di un nostro cliente che aveva Windows 7. La fine del supporto esteso era prevista per il 14 gennaio 2020, ma avendo software su Windows 7 che non faceva in tempo a migrare, ha deciso con il nostro supporto di aderire al programma di Extended Security Updates (ESU) per le aziende che avevano bisogno di più tempo per migrare a un sistema operativo più recente (c’era tempo fino al 10 gennaio 2023).
Avendo guadagnato del tempo per la gestione delle tecnologie non più supportate, poi è stato possibile migrare il sistema operativo in poco tempo al nuovo Windows 8 grazie ai nostri sistemi di gestione centralizzata degli endpoint (vedi la nostra area Work from Anywhere).
SQL Server 2014: un caso studio
Prendiamo come esempio SQL Server 2014, che ha raggiunto il suo EOL e iniziato la fase di Extended Security Updates (ESU) il 9 luglio 2024. Come possono le aziende gestire il fatto che non è più previsto il supporto esteso?
Una volta rilevate le versioni SQL Server 2014 in uso sui propri sistemi tramite la scansione con strumenti SAM avanzati, le aziende possono valutare tutte le opzioni a loro disposizione.
