۸ اکتبر ۲۰۲۵-© shutterstock/marekusz
مت میدلتون-لیل، مدیر عامل EMEA North and South، Qualys، در مورد چالش‌های جایگزینی نرم‌افزارهای منسوخ‌شده و نحوه مدیریت این مشکلات بحث می‌کند.
شاید ندانید، اما نرم‌افزارهای قدیمی هر روز ما را احاطه کرده‌اند. قدیمی‌ترین محصولات نرم‌افزاری که هنوز هم استفاده می‌شوند، سیستم رزرو هواپیمایی SABRE و سیستم‌های ثبت مالیات IRS Individual Master File و Business Master File هستند، طبق فهرست رکوردهای جهانی گینس برای نرم‌افزارهای در حال استفاده مداوم.
این سیستم‌های نرم‌افزاری در اوایل دهه ۱۹۶۰ طراحی و راه‌اندازی شدند. با این حال، اگرچه این برنامه‌ها ممکن است هنوز در حال اجرا باشند و کاری را که برای آن ایجاد شده‌اند انجام دهند، تعداد زیادی نرم‌افزار دیگر نیز وجود دارد که قدیمی و بالقوه خطرناک هستند.
سیستم‌های نرم‌افزاری قدیمی‌تر هنوز در حال استفاده هستند.
نرم‌افزاری که دیگر پشتیبانی نمی‌شود یا به‌روزرسانی‌های امنیتی برای آن ارائه نمی‌شود، «پایان عمر» نامیده می‌شود. بارزترین نمونه در اینجا سیستم عامل مایکروسافت ویندوز است که نسخه‌های آن جایگزین می‌شوند و نسخه‌های قدیمی‌تر دیگر پشتیبانی نمی‌شوند و به‌روزرسانی دریافت نمی‌کنند.
طبق آمار StatCounter، ویندوز ۱۱ و ویندوز ۱۰ به ترتیب با ۵۳.۳٪ و ۴۲.۹٪ پرکاربردترین سیستم‌ها هستند. با این حال، سیستم‌های قدیمی‌تر هنوز در حال استفاده هستند و ویندوز ۸ (در مجموع حدود ۱٪)، ویندوز ۷ (۲٪) و حتی ویندوز XP ۰.۴۴٪ هنوز در حال استفاده هستند XP. در آوریل ۲۰۱۴ به پایان عمر خود رسید؛ با این حال، تعداد کمی از نصب‌ها هنوز در سراسر پایگاه نصب دسکتاپ جهانی وجود دارند.
ویندوز ۱۰ در ۱۴ اکتبر ۲۰۲۵ تاریخ پایان عمر خود را دارد – برای سیستم عاملی که زمانی بیش از یک میلیارد دستگاه نصب کرده بود، این سطح از تغییر یک اقدام بزرگ است.
اما چرا این نرم‌افزار پایان عمر هنوز مورد استفاده قرار می‌گیرد؟ چرا همه ما به طور استاندارد به جدیدترین و امن‌ترین نرم‌افزار روی نمی‌آوریم؟ در حالت ایده‌آل، این اتفاق می‌افتد. با این حال، برای برخی پروژه‌ها، توسعه‌دهنده اصلی ورشکست شده یا ارائه به‌روزرسانی‌ها را متوقف کرده است.
برای برخی دیگر، شرکت‌ها نمی‌خواهند برای نسخه‌های جدیدتر هزینه کنند، در حالی که سیستم‌های قدیمی‌ترشان به خوبی کار می‌کنند. در برخی شرایط، نرم‌افزار قابل به‌روزرسانی نیست – هر تغییری فرآیند کسب‌وکار را مختل می‌کند و هزینه بازسازی آن برنامه بسیار بیشتر از درآمدی است که ایجاد می‌کند. در برخی دیگر، آن برنامه‌ها به سادگی فراموش شده‌اند.
مدیریت نرم‌افزارهای در حال اتمام: آنچه باید بدانید
به هر دلیلی، این دسته از نرم‌افزارها یک ریسک محسوب می‌شوند. طبق تحقیقات ما، تقریباً نیمی (۴۸٪) از مشکلات موجود در فهرست آسیب‌پذیری‌های شناخته‌شده مورد سوءاستفاده CISA در نرم‌افزارهای قدیمی و بدون پشتیبانی یافت می‌شوند، در حالی که ۲۰٪ از دارایی‌های حیاتی دارای نرم‌افزارهایی هستند که شامل نرم‌افزارهای در حال اتمام پشتیبانی با مشکلات شناخته‌شده‌ای هستند که به عنوان «بالا» یا «بحرانی» رتبه‌بندی شده‌اند.
مدیریت این نرم‌افزار شامل یک رویکرد متمرکز بر امنیت برای مدیریت دارایی است، که شامل دانستن دارایی‌هایی است که دارید، چه کسی در سازمان مسئول هر دارایی یا نرم‌افزار در کسب‌وکار است و چه خطراتی ممکن است آن نرم‌افزار ایجاد کند. این جزئیات معمولاً بخشی از یک ابزار سنتی مدیریت دارایی‌های فناوری اطلاعات نیست، اما کلید اولویت‌بندی اصلاح است.
برای تمام نرم‌افزارهای خود، پیگیری وضعیت این نصب‌ها را در طول چرخه عمرشان، از دسترسی عمومی تا پایان عمر یا وضعیت پایان پشتیبانی، در نظر بگیرید. در این راستا، شما همچنین باید گزارشی از هر دارایی که در شش یا دوازده ماه آینده به وضعیت پایان عمر می‌رسد، تهیه کنید و زمان کافی برای برنامه‌ریزی مهاجرت یا ارتقاء را در نظر بگیرید.
برای نرم‌افزاری که بدون جایگزینی به وضعیت پایان عمر/پایان پشتیبانی می‌رسد، معمولاً دلیلی وجود دارد. وقتی صحبت از هزینه اجرای تغییرات می‌شود، مطمئن شوید که یک طرح توجیهی تجاری مستند و رقم بودجه پیاده‌سازی مربوطه در دسترس است.
در کنار این، می‌توانید ارزش در معرض خطر را برای کسب‌وکار از آن نرم‌افزار در معرض خطر ردیابی کنید و میزان هرگونه خرابی یا حادثه سایبری احتمالی را در طول زمان برای کسب‌وکار ثبت کنید. سپس می‌توانید از این رقم ارزش در معرض خطر برای تعیین اینکه آیا و چه زمانی هزینه مهاجرت کمتر از ریسک بالقوه حفظ وضعیت موجود است، استفاده کنید.
چالش‌های خارج از رده کردن نرم‌افزارهای منسوخ‌شده
بزرگترین چالش در اینجا مربوط به برنامه‌های حیاتی است که درآمد آنها مستقیماً به سرویس در حال اجرا وابسته است. برای کسب‌وکار، خاموش کردن این سیستم‌ها با مقاومت بیشتری روبرو خواهد شد زیرا هرگونه خرابی به معنای از دست دادن درآمد است.
خطر از دست دادن درآمد بیشتر از تأثیر بالقوه است، بنابراین هیچ تغییری ایجاد نمی‌شود. این خود یک ریسک است. با این حال، شرکت‌ها نقاط شکست مشابه دیگری را در نظر می‌گیرند و برای آنها از قبل برنامه‌ریزی می‌کنند – به عنوان مثال، یک کارمند بسیار ارزشمند را که مسئول طراحی محصول یا مدیرعامل است، استخدام می‌کنند. از دست دادن آنها تأثیر جدی بر کسب‌وکار خواهد داشت، بنابراین آنها معمولاً از بیمه افراد کلیدی برای کاهش این ریسک برای عواملی خارج از کنترل سازمان استفاده می‌کنند.
حتی با سیستم‌هایی که “ماموریت حیاتی” تلقی می‌شوند، اغلب شکاف‌هایی وجود دارد که می‌توانید از آنها پیشی بگیرید.
توانایی پیاده‌سازی تغییرات. به عنوان مثال، یک تولیدکننده در برابر تغییرات در سیستم‌های خود که خطوط تولید را اداره می‌کردند، مقاومت کرد؛ با این حال، آنها دوره‌ای داشتند که در طی آن تغییرات شیفت رخ می‌داد و خطوط برای مدت کوتاهی متوقف می‌شدند.
با بهره‌برداری از این زمان از کارافتادگی برنامه‌ریزی‌شده و اجرای تدریجی تغییر، تیم فناوری اطلاعات توانست سیستم‌ها را به‌روزرسانی کند و بهره‌وری را حفظ کند. بنابراین، راه‌هایی برای برنامه‌ریزی قبلی و کاهش این خطر وجود دارد.
غلبه بر موانع
چه اتفاقی می‌افتد وقتی نمی‌توانید آن نرم‌افزار را جایگزین کنید؟ محافظت معمول برای این سیستم‌ها شامل فاصله‌گذاری هوایی و اجرا در شبکه‌های غیرمتصل است، در حالی که می‌توان از فایروال‌های برنامه و سایر سیستم‌های امنیتی برای محدود کردن تعامل به دستگاه‌های شناخته‌شده و قابل اعتماد استفاده کرد.
در این شرایط، درک پیکربندی‌های نادرست احتمالی یا روش‌های دسترسی به سیستم برای جلوگیری از حملات احتمالی و جستجوی جایگزین‌هایی برای وصله‌گذاری ضروری خواهد بود. به‌کارگیری قابلیت از بین بردن خطر با به‌کارگیری این اقدامات متقابل، یک چرخ‌دنده حیاتی در استراتژی دفاع لایه‌ای شما خواهد بود.
برای کسب‌وکارها، نرم‌افزارهای منسوخ‌شده ممکن است مانند یک هزینه امنیتی دیگر به نظر برسند و وقتی محدودیت‌های بودجه‌ای قابل توجهی وجود دارد، نادیده گرفتن مسائل امنیتی می‌تواند آسان‌تر باشد. برای پرداختن به این موضوع، باید میزان این تأثیر را به شکلی که برای کسب‌وکار قابل درک باشد – از نظر مالی – کمّی کنید. کسب‌وکار در حال حاضر خطرات دیگر را به این روش کاهش می‌دهد، بنابراین می‌توانید همین رویکرد را اعمال کنید.
در کنار این، تأثیر گسترده‌تری نیز وجود دارد. در حالی که حمله به یک دارایی که به عنوان غیرحیاتی رتبه‌بندی شده است ممکن است به آن دستگاه یا قطعه نرم‌افزاری خاص محدود شود، احتمال این وجود دارد که بتواند شبکه گسترده‌تری را تحت تأثیر قرار دهد یا به عنوان نقطه شروعی برای حرکت جانبی استفاده شود.
در حالی که کسب‌وکار خطری را که هنگام به خطر افتادن سیستم‌ها وجود دارد درک خواهد کرد، چارچوب‌بندی آن از نظر تأثیر مالی، دریافت پشتیبانی از رهبری کسب‌وکار را آسان‌تر می‌کند.
آینده جایگزینی نرم‌افزار: کاهش وابستگی به برنامه‌ریزی از قبل
همه نرم‌افزارها چرخه عمر دارند. حتی سیستم‌هایی که مسئول مدیریت رزرو پرواز یا اظهارنامه مالیاتی هستند، در نهایت جایگزین خواهند شد.
چالش این است که چگونه از قرار گرفتن در موقعیت‌هایی که کسب‌وکار آنقدر به هر نرم‌افزاری وابسته است که فکر خاموش کردن آن، خود یک ریسک است، اجتناب کنیم. به جای اینکه به این نرم‌افزار وابسته باشید، می‌توانید به کسب‌وکار کمک کنید تا چالش‌ها و تأثیر بالقوه را درک کند و سپس از قبل برنامه‌ریزی کند.
استفاده از ارزش در معرض خطر برای محاسبه تأثیر پولی، استدلال از موضع قدرت در تجارت را آسان‌تر می‌کند، نه اینکه صرفاً به استدلال تکنولوژیکی متکی باشد.
