Software fuori supporto: il rischio dei programmi che nessuno aggiorna più

In quasi tutte le organizzazioni c'è almeno un sistema che "funziona benissimo, perché cambiarlo?". Un vecchio server con un sistema operativo di molti anni fa, un gestionale sviluppato da un fornitore che non esiste più, un computer collegato a un macchinario che non si può aggiornare, una stampante abbandonata dal produttore.

Il problema non è l'età in sé. È che quei sistemi sono fuori supporto: il produttore non pubblica più aggiornamenti di sicurezza.

Perché è un rischio crescente

Ogni software contiene vulnerabilità, e nuove falle vengono scoperte continuamente. Finché un prodotto è supportato, il produttore le corregge con gli aggiornamenti. Quando il supporto termina, ogni falla scoperta da quel momento resta aperta per sempre.

Con il tempo il rischio aumenta:

• le vulnerabilità note si accumulano e vengono documentate pubblicamente;
• gli strumenti per sfruttarle diventano facilmente reperibili;
• gli attaccanti cercano attivamente sistemi vecchi esposti su internet;
• i software di protezione moderni smettono di essere compatibili.

Un singolo sistema non aggiornato può diventare il punto d'ingresso per compromettere l'intera rete.

Conoscere le scadenze

Il primo passo è sapere cosa si ha e quando scade. Serve un inventario che comprenda:

• sistemi operativi di computer e server;
• programmi e gestionali, con il fornitore e il contratto di assistenza;
• dispositivi di rete, stampanti, telecamere, apparecchiature con software incorporato;
• le date di fine supporto annunciate dai produttori.

I grandi produttori pubblicano con largo anticipo il calendario del supporto. Conoscerlo permette di pianificare sostituzioni e budget invece di subirle.

Le opzioni

Aggiornare o sostituire. È la soluzione definitiva: migrare a una versione supportata o a un prodotto diverso. Richiede tempo e risorse, per questo va pianificata con anticipo.

Supporto esteso. Alcuni produttori offrono, a pagamento e per un periodo limitato, aggiornamenti di sicurezza anche dopo la fine del supporto standard. Può dare il tempo necessario per una migrazione ordinata.

Isolare. Quando un sistema non può essere sostituito subito, ad esempio perché controlla un'apparecchiatura costosa, si riduce l'esposizione:

• scollegandolo da internet;
• mettendolo in una rete separata, con comunicazioni limitate al minimo indispensabile;
• limitando chi può accedervi e da dove;
• monitorando con attenzione ciò che succede.

Accettare consapevolmente. In alcuni casi il rischio residuo viene accettato. Deve però essere una decisione esplicita, presa da chi ha la responsabilità, motivata, documentata e rivista periodicamente.

Un tema da bilancio, non solo tecnico

La sostituzione dei sistemi obsoleti è spesso rimandata perché non porta funzioni nuove visibili. Ma il costo di un incidente causato da un sistema non aggiornato è quasi sempre superiore a quello della migrazione. Inserire le scadenze di fine supporto nella pianificazione degli investimenti è una scelta di governo, non un dettaglio tecnico.

Per i soggetti NIS2 e per chi deve dimostrare misure adeguate secondo il GDPR, la gestione delle vulnerabilità e dei sistemi obsoleti è anche un elemento che può essere verificato.

In sintesi

Un software fuori supporto è una porta che non si potrà più riparare. Conoscere le scadenze, pianificare le sostituzioni e isolare ciò che non si può ancora cambiare sono le scelte che spettano a chi decide.