Perché un singolo sistema legacy rappresenta un rischio per le aziende?

Emanuel Böminghaus, Esperto di sistemi legacy e amministratore delegato di AvenDATA

Emanuel Böminghaus

Esperto di Sistemi Legacy,
Amministratore Delegato AvenDATA

In molte aziende oggi non esiste più una moltitudine di vecchie applicazioni, ma spesso un unico sistema legacy che continua a funzionare da anni, sebbene non svolga più alcun ruolo nelle attività quotidiane. I dati che contiene, però, restano importanti. Proprio questo sistema genera costi sproporzionati, mette a rischio la sicurezza IT e diventa un onere per la compliance, la revisione contabile e la gestione operativa. Le aziende sottovalutano spesso quanto anche un solo sistema legacy possa frenare l’intera strategia IT.

Cosa contraddistingue un singolo sistema legacy

Nel contesto di questo articolo, per sistema legacy si intende un software che non viene più utilizzato attivamente, ma che contiene ancora dati da conservare per motivi legali o aziendali. Può trattarsi di un ex sistema ERP, di un precedente sistema HR o paghe, di un vecchio sistema finanziario o di un’applicazione sviluppata internamente, il cui sviluppatore ha lasciato l’azienda da tempo. Dopo progetti di modernizzazione o operazioni di carve-out rimane spesso proprio uno di questi sistemi, che non riceve più manutenzione ma non può nemmeno essere dismesso.

Perché un singolo sistema legacy rappresenta un rischio strategico

Il rischio principale deriva dal fatto che per questo sistema non vengono più rilasciati aggiornamenti, per cui le falle di sicurezza critiche restano aperte. Il sistema può così diventare un punto di ingresso per malware o accessi non autorizzati, soprattutto se sono ancora attivi vecchi database, server obsoleti o interfacce non sicure. Il reparto IT perde inoltre tempo prezioso, perché la gestione di un sistema legacy richiede conoscenze specialistiche che non sono più disponibili internamente. Quando le autorità di controllo richiedono informazioni, può emergere che nessuno sa più come utilizzare il sistema o quali strutture di dati contenga.

Anche dal punto di vista economico, un solo sistema legacy pesa sul bilancio aziendale. I costi per server, backup, licenze, manutenzione, monitoraggio e supporto interno si sommano nel corso degli anni, anche se il sistema non offre più alcun beneficio produttivo. Molte aziende spendono ogni anno importi a cinque cifre solo per mantenerlo in funzione. A ciò si aggiungono i requisiti di compliance: i dati del sistema legacy devono rimanere consultabili in modo completo e a prova di revisione, in alcuni casi per dieci anni o più. Se mancano le competenze tecniche necessarie, sorgono rischi legali che emergono al più tardi in occasione di una verifica fiscale.

Quali informazioni del sistema legacy sono critiche?

dati contabili e transazionali fiscalmente rilevanti
dati del personale e delle paghe relativi ad anni retributivi precedenti
giustificativi, documenti e allegati
audit trail, log e registri di sistema
documentazione commerciale soggetta ai termini di conservazione previsti dalla legge

Poiché questi dati sono voluminosi e complessi, devono essere conservati in una forma consultabile anche senza know-how tecnico. In un sistema legacy ancora in esecuzione, proprio questo non è più garantito.

Come le aziende dovrebbero gestire un singolo sistema legacy

Il primo passo consiste nell’analizzare a fondo il sistema legacy e nello stabilire quali dati contiene, quali obblighi di legge si applicano e per quanto tempo le informazioni devono essere conservate. Sulla base di questa analisi è possibile decidere se sia necessaria una migrazione o se l’archiviazione rappresenti la soluzione più sensata. Nella pratica, l’archiviazione risulta quasi sempre più efficiente, perché consente di dismettere completamente il sistema.

Una volta presa la decisione, inizia l’estrazione dei dati a prova di revisione. Questa fase deve assicurare che tutte le tabelle, i documenti, le schermate e i dati transazionali vengano acquisiti in modo completo. Al contempo, devono essere garantite la leggibilità, le funzioni di esportazione e la tracciabilità degli accessi, in modo che anche a distanza di anni un revisore o, in caso di insolvenza, un curatore fallimentare possa ricostruire quali dati conteneva il sistema legacy. Questo passaggio è particolarmente importante perché, con il tempo, e soprattutto dopo un’insolvenza, di norma non c’è più personale in grado di utilizzare l’applicazione originale.

I dati estratti vengono infine resi disponibili in un sistema di archiviazione a prova di revisione, che offre diritti di accesso chiaramente definiti, tracciabilità degli accessi, funzioni di ricerca ed esportazione e una conservazione a lungo termine conforme alla legge. Solo quando questi requisiti sono soddisfatti, il sistema legacy originale può essere dismesso anche dal punto di vista tecnico. Ciò comprende lo smantellamento dei server, la rimozione dei vecchi backup (nel rispetto dei periodi di conservazione), la disdetta delle licenze e la documentazione della dismissione finale.

Perché proprio un singolo sistema legacy viene così spesso trascurato

In molte aziende il problema nasce perché il sistema resta semplicemente in esecuzione, senza che nessuno lo utilizzi più attivamente. Non c’è più un responsabile, né uno sviluppo continuo, né un controllo regolare. Di conseguenza, il sistema viene facilmente dimenticato, mentre continua a generare costi e a rappresentare un rischio. Quanto più a lungo si protrae questa situazione, tanto maggiore è il pericolo che dati importanti vadano persi, che le verifiche abbiano esito negativo o che malintenzionati sfruttino le vulnerabilità.

Un singolo sistema legacy non dovrebbe mai continuare a funzionare in background

Anche un solo sistema legacy può comportare notevoli rischi finanziari, legali e di sicurezza. Le aziende non dovrebbero quindi limitarsi a mantenerlo in esercizio, ma analizzarlo in modo strutturato, estrarne i dati a prova di revisione e infine dismetterlo completamente. Solo così si garantiscono sia la compliance sia la sicurezza IT e, al tempo stesso, si riducono i costi in modo duraturo.

Avete in programma di archiviare un sistema legacy?