Jak ustalić, co w firmie nie dostaje już poprawek

Pytanie „czy wszystko jest aktualne” prawie zawsze dostaje odpowiedź twierdzącą, bo aktualizacje same się instalują. Pytanie „czy wszystko jest jeszcze wspierane” to zupełnie inna sprawa i odpowiedź na nie zwykle nie istnieje.

Różnica jest istotna. Oprogramowanie po końcu wsparcia nie przestaje działać i nie wyświetla ostrzeżenia. Po prostu przestają wychodzić poprawki bezpieczeństwa — a luki znajdowane po tej dacie zostają otwarte na zawsze.

Dlaczego to jest niedoceniane

Bo nie ma objawu. Maszyna działa tak samo w dniu przed końcem wsparcia i w dniu po. Nic się nie psuje, nikt się nie skarży, nic nie trafia do zgłoszeń.

Zauważa się to zwykle dopiero wtedy, gdy jakaś luka zostaje wykorzystana masowo — i wtedy okazuje się, że w firmie stoją trzy takie maszyny, o których nikt nie pamiętał.

Gdzie to zwykle siedzi

Kolejność mniej więcej według częstości:

Serwery, które „po prostu działają”. Kontroler domeny albo serwer plików postawiony osiem lat temu, niewymagający uwagi, więc nieoglądany.

Maszyny sterujące urządzeniami. Produkcja, laboratorium, sprzęt pomiarowy. Osobny przypadek, bo tu wymiana bywa niemożliwa — opisałem to w innej notatce.

Bazy danych. Silniki baz mają krótsze cykle wsparcia, niż większość ludzi zakłada, a aktualizacja bywa blokowana przez aplikację, która działa tylko ze starą wersją.

Środowiska uruchomieniowe aplikacji webowych. Wersja języka, na której stoi sklep albo aplikacja wewnętrzna, po końcu wsparcia przestaje dostawać poprawki niezależnie od tego, że sama aplikacja jest rozwijana.

Urządzenia sieciowe. Router albo firewall, do którego producent nie wypuścił oprogramowania od czterech lat. To urządzenie stoi na styku z internetem, więc jest najgorszym miejscem na to.

Telefony służbowe. Model sprzed pięciu lat nie dostaje już poprawek, a czyta firmową pocztę.

Jak zrobić listę bez kupowania narzędzia

Krok 1: spisz, co w ogóle działa

Wystarczy arkusz. Kolumny: nazwa, wersja, gdzie stoi, do czego służy, kto jest właścicielem sprawy.

Źródła: konsola zarządzania stacjami, spis w katalogu domeny, panele urządzeń sieciowych, i — nie do pominięcia — rozmowa z ludźmi. Część rzeczy nie ma śladu w żadnej konsoli.

Krok 2: sprawdź daty końca wsparcia

Producenci publikują je jawnie. Dla większości popularnych systemów, baz, środowisk uruchomieniowych i przeglądarek daty zbiera też kilka publicznych zestawień w internecie — wpisanie nazwy i wersji zajmuje minutę.

W arkuszu wystarczy jedna dodatkowa kolumna: data końca wsparcia.

Krok 3: podziel na trzy grupy

• Po dacie — ryzyko już istnieje.
• Kończy się w ciągu roku — trzeba zaplanować budżet i okno.
• Wspierane — do przeglądu za rok.

Krok 4: dla każdej pozycji „po dacie” jedna z trzech decyzji

Wymieniamy — z datą i osobą odpowiedzialną.

Nie da się wymienić, więc izolujemy — odcięcie od internetu, osobny odcinek sieci, ograniczenie tego, co może się z tą maszyną łączyć, i data ponownego przeglądu.

Świadomie akceptujemy ryzyko — zapisane, z uzasadnieniem i terminem. To uczciwa decyzja, jeżeli jest decyzją. Przestaje nią być, gdy jest po prostu brakiem decyzji.

Rzecz, którą warto zrobić przy okazji

Podczas robienia tej listy prawie zawsze wychodzą trzy rzeczy niezwiązane bezpośrednio z tematem, a warte tyle samo:

• maszyny, o których nikt nie wiedział, że jeszcze działają,
• konta i usługi po ludziach, którzy odeszli,
• co najmniej jedno urządzenie z domyślnym hasłem administratora.

Dlatego ten przegląd zwykle robi się raz i opłaca się kilka razy.

Jak nie robić tego co roku od zera

Data końca wsparcia dopisana w arkuszu starzeje się sama — to jej zaleta. Wystarczy raz na rok posortować listę po tej kolumnie i zobaczyć, co przeszło do grupy pierwszej.

Warto powiązać ten przegląd z czymś, co i tak się dzieje: zamknięciem roku, planowaniem budżetu, przeglądem umów. Termin niepowiązany z niczym nie zostaje dotrzymany — sprawdzone wielokrotnie.