Verouderde software: hoe groot is het risico op dataverlies en hacking?

De planning opent elke ochtend. Facturen vertrekken op tijd. Klantgegevens staan netjes in het systeem. Dan lijkt er weinig reden om oude bedrijfssoftware aan te pakken. Tot je jezelf een andere vraag stelt: wat gebeurt er als je morgen niet meer bij die gegevens kunt, of als iemand anders ze ongemerkt kan lezen?

Verouderde software is niet automatisch gehackt. Maar wanneer beveiligingsupdates wegvallen en onderhoud steeds moeilijker wordt, kan een werkend systeem toch een bedrijfsrisico worden. Dat risico gaat verder dan een website die tijdelijk offline is: ook je gegevens, dagelijkse werking en klantvertrouwen staan op het spel.

Waarom wordt oude software kwetsbaar voor hacking?

Software bestaat uit verschillende lagen. Je maatwerktoepassing gebruikt bijvoorbeeld PHP, een framework, een database en externe bibliotheken. Elk onderdeel heeft een eigen onderhouds- en ondersteuningsperiode. Als één laag geen beveiligingsupdates meer krijgt, kunnen kwetsbaarheden blijven bestaan, ook wanneer de rest nog wordt bijgewerkt.

Het Britse National Cyber Security Centre over verouderde producten waarschuwt voor die combinatie van ontbrekende updates en oudere beveiligingsmaatregelen. Toegang beperken kan de blootstelling verkleinen, maar maakt een niet-ondersteund product niet blijvend veilig.

‘Onze toepassing is alleen intern bereikbaar’ is daarom geen sluitende garantie. Denk ook aan bestandsuitwisseling, toegang op afstand en koppelingen met andere systemen. Laat beoordelen welke routes naar de oude toepassing bestaan en welke gegevens ze kan bereiken.

Dataverlies, datadiefstal en gewijzigde gegevens zijn verschillende problemen

Bij een beveiligingsincident zijn er verschillende mogelijke gevolgen:

• Dataverlies: bestanden of databaserijen worden verwijderd of onbruikbaar. Je verliest bijvoorbeeld werkbonnen, afspraken of factuurhistoriek.
• Datadiefstal: iemand kopieert vertrouwelijke informatie. Je toepassing kan ondertussen gewoon blijven werken.
• Gegevensmanipulatie: informatie wordt aangepast, zoals een rekeningnummer, prijsafspraak of toegangsrecht. De gegevens zijn nog aanwezig, maar je kunt er niet meer op vertrouwen.

Het NCSC over gegevensbeveiliging behandelt daarom bescherming tegen ongeoorloofde inzage, wijziging én verwijdering. Alleen controleren of je database nog bestaat, zegt weinig over de betrouwbaarheid ervan.

Dataverlies kan ook zonder hacker ontstaan. Een medewerker verwijdert per ongeluk gegevens, een schijf valt uit of een import overschrijft bestaande informatie. Onderzoek bij oude maatsoftware dus ook hoe fouten worden ontdekt en teruggedraaid.

Ransomware kan je dagelijkse werking blokkeren

Ransomware is kwaadaardige software die systemen of gegevens ontoegankelijk kan maken. Volgens Safeonweb at Work over ransomware zijn onder meer updates en back-ups belangrijke maatregelen om de risico’s en gevolgen te beperken.

Stel dat een installatiebedrijf zijn planning en werkbonnen niet meer kan openen. Monteurs weten niet welke afspraken gewijzigd zijn. De administratie mist informatie om te factureren. Klanten bellen over werkzaamheden die niemand kan controleren. Dit is een fictief voorbeeld, maar het maakt duidelijk waarom je beveiliging ook vanuit je bedrijfsprocessen moet bekijken.

Vraag daarom niet alleen hoeveel gegevens je kunt verliezen, maar ook hoelang je zonder de toepassing kunt werken. Een ochtend aan afspraken opnieuw invoeren is een andere herstelopdracht dan jaren aan onderhoudshistoriek reconstrueren.

Een back-up is pas bruikbaar als herstel lukt

Een groen vinkje bij de nachtelijke back-up is een begin. Laat ook aantonen dat je gegevens én toepassing ermee kunnen worden hersteld. De NCSC-richtlijnen voor back-ups die bestand zijn tegen ransomware benadrukken onder meer afscherming, afzonderlijke beheeraccounts, bescherming tegen verwijdering en het testen van oudere herstelpunten.

Bespreek met je beheerder:

• Kan een aanvaller met toegang tot de productieserver ook de back-ups wissen?
• Zijn er meerdere herstelpunten als beschadigde gegevens al mee zijn gekopieerd?
• Zijn naast de database ook bijlagen, instellingen en benodigde sleutels beschikbaar?
• Is herstel in een afzonderlijke omgeving getest, en hoeveel tijd kostte dat?

Een back-up kan helpen om gegevens terug te zetten. Hij maakt gekopieerde klantgegevens niet opnieuw vertrouwelijk. Herstelbaarheid en het voorkomen van ongeoorloofde toegang vragen elk aandacht.

Welke signalen vragen om een onderzoek?

Je hoeft niet te wachten op een incident. Deze situaties zijn goede redenen om je toepassing te laten beoordelen:

• Je host vraagt om een update, maar de toepassing werkt niet op de nieuwe versie.
• Niemand weet wie beveiligingsmeldingen en onderhoud opvolgt.
• De oorspronkelijke ontwikkelaar is niet meer bereikbaar en toegang ontbreekt.
• Medewerkers delen een beheerdersaccount omdat afzonderlijke accounts lastig zijn.
• Er is geen recent bewijs dat een back-up succesvol is teruggezet.

Geen van deze signalen bewijst op zichzelf dat je gehackt bent. Ze helpen wel om concrete vragen te stellen en verantwoordelijkheden vast te leggen.

Veilig moderniseren begint bij je gegevens en processen

Begin met een overzicht van je toepassing, versies, koppelingen, toegangen en belangrijkste gegevens. Laat daarna bepalen welke onderdelen nog ondersteund zijn en welke blokkades een update tegenhouden. Leg per risico vast wie het opvolgt en wanneer er een oplossing moet zijn.

Soms volstaat een gerichte upgrade. Soms is gefaseerd vernieuwen of herschrijven beter haalbaar. Neem bij elke route gegevensoverdracht en controles mee: kloppen klantenaantallen, openstaande facturen, bijlagen en planningsafspraken na de overstap? Test eerst buiten de dagelijkse werkomgeving en spreek af hoe je terugkeert als de ingebruikname niet goed verloopt.

Voorbeelden van zulke trajecten zijn planningssoftware moderniseren, facturatiesoftware moderniseren en software herschrijven zonder broncode. Beschikbare toegang, gegevens en rechten bepalen wat mogelijk is.

Legacy Lab helpt Belgische bedrijven om verouderde maatsoftware te analyseren en te moderniseren. Wil je weten welke risico’s en mogelijkheden jouw toepassing heeft? Vertel ons over je software en vraag een vrijblijvende offerte aan. Deel daarbij geen wachtwoorden of gevoelige bedrijfsgegevens.