ICT4EXECUTIVE - WWW.ICT4EXECUTIVE.IT
FEBBRAIO 2014 Un PC con hardware moderno, sistema operativo e applicazioni di ultima generazione, è la miglior difesa contro l emergere di nuove minacce informatiche. Tuttavia, nonostante l approssimarsi dell 8 aprile, data di fine supporto per Windows XP, sono ancora molti i PC con questo sistema operativo. Questa eguide di ICT4Executive illustra quali saranno le conseguenze della fine di tale supporto e i rischi connessi al prolungamento della permanenza di Windows XP sulle macchine, anche dopo la conclusione del suo ciclo di vita windows xp a fine corsa, i rischi di non aggiornare il sistema Cosa significa fine del supporto per Windows XP? Le conseguenze pratiche I rischi di sicurezza L importanza di cambiare il parco macchine SPONSORED BY
WINDOWS XP A FINE CORSA,I RISCHI DI NON AGGIORNARE IL SISTEMA.1. cosa significa fine del supporto per xp Come qualunque altro prodotto disponibile sul mercato, anche i sistemi operativi (SO) seguono un loro ciclo di vita. Esso comincia da quando vengono rilasciati commercialmente, continua per anni con la pubblicazione e distribuzione dei periodici aggiornamenti che vanno ad arricchire le funzionalità e a correggere i bachi e i difetti di funzionamento, e si conclude con la fine delle attività di supporto per il sistema operativo stesso. Per un azienda, conoscere le date chiave che caratterizzano il ciclo di vita di un SO è molto importante, perché ad esempio, attraverso queste informazioni, potrà prendere decisioni più lungimiranti sull adozione di una determinata soluzione. Decisioni che si riflettono a livello strategico e che, una volta prese, possono determinare un impatto sulle scelte e iniziative d investimento in merito al comparto software per gli anni a venire. Sapere già in anticipo quali saranno le tappe della roadmap prevista per un sistema operativo, e fino a quando riceverà aggiornamenti e supporto tecnico, porta a prendere decisioni in maniera più oculata, e a fare scelte più corrette, in rapporto sia agli attuali obiettivi e alle specifiche politiche aziendali, sia alle prospettive future di evoluzione del business. Naturalmente, la rilevanza di conoscere la data che segnerà la fine del supporto per un sistema operativo è un principio valido in generale e non riguarda solo Windows. Soltanto per citare una caso su tutti, la versione 12.04 LTS (Long-Term Support) di Ubuntu per piattaforme desktop e server, rilasciata nell aprile 2012, ha un supporto per cinque anni, e riceverà continui update per migliorare la compatibilità con l hardware, come anche aggiornamenti di sicurezza fino all aprile 2017. 8 APRILE 2014: FINE DEL SUPPORTO In generale, parlando di fine supporto per una data versione di Windows, Microsoft fa riferimento alla data a partire dalla quale non fornirà più correzioni automatiche, aggiornamenti o assistenza tecnica online. Dunque, entro tale termine, diventa di norma critico verificare che nei computer o nei server in uso sia installato il Service Pack (SP) o l aggiornamento più recente. Ciò perché, una volta terminato il supporto fornito da Microsoft, non è più possibile ricevere aggiornamenti di protezione per mettere al riparo le macchine dagli attacchi del malware (virus, spyware e altro codice maligno). In particolare, nel caso specifico di Windows XP, la data di fine supporto è fissata per l 8 aprile 2014. Dopo oltre dodici anni ininterrotti di servizio tecnico, a partire dall 8 aprile non sarà dunque più disponibile alcun supporto, né gli 2 ICT4E.Guide www.ict4executive.it
aggiornamenti automatici per la sicurezza che aiutano a mantenere i computer protetti dalle varie minacce del cyberspazio. Microsoft non permetterà più nemmeno il download del tool di sicurezza Microsoft Security Essentials su Windows XP e, solo nel caso esso si trovi già installato sul computer, sarà possibile continuare a ricevere gli aggiornamenti per le signature (firme) anti-malware, anche se per un periodo limitato. Tuttavia ciò non potrà garantire la sicurezza delle macchine, perché verranno a mancare gli indispensabili aggiornamenti per riparare le vulnerabilità del sistema. In altre parole, i computer, pur continuando a funzionare, saranno più esposti ai rischi di contrarre virus o altro genere di malware. Inoltre, occorre anche considerare che il numero di produttori hardware e software, partner di Microsoft, che stanno ottimizzando le proprie soluzioni per le versioni più recenti di Windows è in continua crescita e che, in prospettiva, sempre più applicazioni e dispositivi non funzioneranno più con Windows XP. PERCHÉ FINISCE IL SUPPORTO Windows XP è stato un sistema operativo glorioso, che dall epoca del suo lancio commerciale (ottobre 2001) ha saputo guadagnarsi il favore di molti utenti, grazie all introduzione di alcune nuove efficaci funzionalità anti-malware, come il firewall, Windows Update e Centro Sicurezza PC. Oggi però queste funzionalità non sono più sufficienti a contrastare le odierne minacce informatiche che, nel tempo, si sono fatte molto più complesse e pericolose, soprattutto per le piccole e medie imprese che in molti casi, non disponendo di risorse e infrastrutture dedicate all amministrazione della security, possono risultare più esposte. Per continuare a fornire soluzioni software in grado di garantire alle organizzazioni livelli di difesa adeguati ai nuovi rischi di protezione, Microsoft, assieme ai partner, sta quindi attuando una strategia tecnologica incentrata sul nuovo sistema operativo Windows 8 (che nella versione 8.1 introduce funzionalità di sicurezza ulteriormente potenziate, fra le quali c è anche un servizio di rilevamento del malware basato su cloud). Inoltre, la cessazione del servizio per Windows XP è legata all introduzione nel 2002 da parte di Microsoft di alcuni principi per la regolazione del ciclo di vita del supporto, finalizzati a fornire agli utenti una visione più chiara e dettagliata dell assistenza tecnica disponibile per i vari prodotti. Tali criteri sono applicati alla maggior parte dei prodotti che si possono attualmente acquistare al dettaglio o tramite contratti multilicenza, e anche a gran parte di quelli che verranno rilasciati in futuro. In particolare, sui prodotti per il business e lo sviluppo, tra cui sono inclusi anche Windows e Office, Microsoft si impegna a fornire supporto per almeno dieci anni al livello dei Service Pack supportati. Più in dettaglio, si parla di cinque anni di supporto Mainstream (la prima fase del ciclo di vita del supporto per i prodotti) e di altri cinque di supporto Extended. In base a questi criteri, il supporto per Win- 3 ICT4E.Guide www.ict4executive.it
dows XP, e anche quello dedicato a Office 2003, termina l 8 aprile 2014. Una data, l 8 aprile 2014, che rappresenta anche un campanello d allarme, e può suonare come un ritardo, per tutte quelle organizzazioni piccole e grandi - che non abbiano ancora attivato una processo di migrazione verso un sistema operativo più moderno. La distribuzione e installazione di un nuovo SO sulle varie macchine di una rete aziendale richiede infatti di norma un certo tempo fisiologico per le fasi di pianificazione e collaudo, prima di poterlo mettere effettivamente in produzione. Tempo che, in tutti i casi in cui andrà oltre la data di fine supporto per XP, avrà l effetto di lasciare i computer della rete che ancora funzionano con il vecchio sistema operativo esposti a vari rischi di sicurezza, fino alla conclusione delle attività di test e delle procedure necessarie per la messa in campo del nuovo sistema. QUALI SONO LE CONSEGUENZE PRATICHE Il fatto che, dopo l 8 aprile 2014, Microsoft non fornirà più aggiornamenti di sicurezza, aggiornamenti rapidi non relativi alla sicurezza, opzioni di supporto assistito a pagamento o gratuito, o aggiornamenti dei contenuti tecnici disponibili online, significa esporre tutti i computer con installato XP o Office 2003 a una serie di problemi e rischi. Una prima categoria di rischi e inconvenienti è legata alle conseguenze pratiche che la mancanza di aggiornamenti di vario tipo e relativi alla sicurezza può determinare a livello di problemi di validazione e certificazione dell affidabilità del software. Una questione centrale diventa, quindi, la conformità dei sistemi informatici alle normative vigenti nei vari settori di attività e la loro idoneità ad amministrare determinati processi aziendali. Un riferimento può essere, ad esempio, quello alla compliance del sistema operativo rispetto ad alcune norme fondamentali, come le linee guida ISO/IEC 9126, che definiscono un modello di qualità del software. Quest ultima è definita come l insieme delle caratteristiche che incidono sulla capacità del prodotto di soddisfare requisiti espliciti o impliciti. Esiste una qualità esterna, cioè l efficacia e l efficienza del software così com è percepita dall utente, che si esprime nelle prestazioni del prodotto e nelle funzionalità che fornisce. Ed esiste una qualità interna, rappresentata dalle proprietà intrinseche del prodotto e riscontrabili direttamente sul codice sorgente. Le caratteristiche che definiscono la qualità interna ed esterna sono: funzionalità, affidabilità, usabilità, efficienza, manutenibilità e portabilità. Proprio in merito all affidabilità del software si apre un capitolo specifico sulla sicurezza dei sistemi e dei dati in essi presenti: gli ambienti operativi per i quali non vengono più resi disponibili supporto tecnico e patch di correzione dei difetti del software risultano, com è logico, più vulnerabili ai rischi di sicurezza informatica. E tutto ciò può condurre a un problema di controllo sull operatività delle macchine che, se riconosciuto ufficialmente da un ente di verifica interno o esterno, può a sua volta riflettersi nella sospensione delle certificazioni, e/o anche in avvisi pubblici, in cui viene segnalata l incapa- 4 ICT4E.Guide www.ict4executive.it
cità dell organizzazione in questione di proteggere i sistemi, le informazioni e i dati sensibili degli utenti. Tuttavia, fine del supporto per Windows XP non significa solo problemi di conformità dei sistemi. Significa anche problemi di compatibilità e funzionamento con il software e l hardware di nuova produzione. Come si è infatti accennato precedentemente, l abbandono del supporto a questo SO da parte di Microsoft sta portando in maniera crescente anche all interruzione del supporto da parte dei vari partner della casa di Redmond, come i fornitori di software indipendenti e i produttori di componenti hardware. Molti di loro, secondo un recente rapporto della società di ricerche Gartner, non intendono più supportare le nuove versioni delle loro applicazioni su Windows XP, e nel 2012 tale trend si è ulteriormente accentuato. Dallo studio di Gartner emerge infatti che la maggioranza dei produttori di hardware per PC ha interrotto il supporto per Windows XP sulla maggior parte dei nuovi modelli. 5 ICT4E.Guide www.ict4executive.it
WINDOWS XP A FINE CORSA,I RISCHI DI NON AGGIORNARE IL SISTEMA.2. i rischi di sicurezza per le aziende Nonostante il rapido avvicinarsi della data che segnerà la fine del supporto per Windows XP, le dinamiche di evoluzione delle imprese in rapporto a questo cambiamento si preannunciano alquanto variegate. La data di scadenza dell 8 aprile non troverà certo tutti già pronti. Vi saranno, ad esempio, organizzazioni che si trovano nelle prime fasi di migrazione verso un nuovo sistema operativo, ed altre che addirittura non hanno ancora cominciato il percorso di transizione per allontanarsi dalla vecchia piattaforma. Quest anno, secondo una stima di Gartner, più del 15% delle imprese di medie e grandi dimensioni avranno ancora Windows XP in funzione su almeno il 10% dei loro PC, anche dopo l interruzione del supporto da parte di Microsoft. CAPIRE E MITIGARE I RISCHI PRIMA DELLA MIGRAZIONE Lo scenario che si prefigura fa comprendere con maggior chiarezza quanto sia importante, per tutte le organizzazioni che si trovano ancora arretrate nel processo di migrazione, cominciare quantomeno un procedura di assessment, per valutare lo stato dei sistemi esistenti e le tipologie di rischi a cui saranno esposti in assenza della transizione tecnologica verso piattaforme più moderne e supportate. In molti casi sarà necessario prendere iniziative per tamponare i rischi, almeno per una parte degli utenti o delle applicazioni. Come è facilmente immaginabile, i rischi di compromissione della sicurezza sono più elevati soprattutto per quei computer aziendali che si trovano costantemente collegati a Internet e che usano ancora Windows XP. Essi, come tali, sono privi di adeguate difese e possono essere oggetto di attacchi e furti di dati. Inoltre costituiscono punti deboli violabili, e sfruttabili dai criminali informatici per guadagnare l ingresso nella rete aziendale. Da qui in poi, le azioni malevole perpetrabili, a seconda dell entità dei danni, possono andare dalla sottrazione di dati e informazioni di valore monetizzabile, al furto o alla corruzione di documenti confidenziali, all appropriazione di informazioni segrete, relative ad esempio alla proprietà intellettuale (IP). Per tali ragioni, le aziende che oggi si trovano in ritardo, non avendo ancora completato il processo di migrazione per l abbandono di Windows XP e/o Office 2003, dovrebbero fare tutto il possibile per rivedere la tabella di marcia del progetto, e assicurarsi di rispettare la scadenza. Chi invece ritiene proprio improbabile riuscire a completare in tempo i progetti di migrazione per l 8 aprile non può far altro che correre ai ripari con rimedi estremi per arginare i possibili danni, a spese però dell operatività della rete, che può anche necessitare dell applicazione di 6 ICT4E.Guide www.ict4executive.it
restrizioni sugli accessi ai computer con Windows XP, o di misure di sicurezza aggiuntive. Se diventa proprio indispensabile scegliere, temporaneamente, la strada delle soluzioni di ripiego, allora è bene assegnare precise priorità agli interventi tecnici su determinate applicazioni e utenti, indirizzando per prime le risorse più critiche. Il parco applicativo va analizzato interamente, per agevolare la salvaguardia dei processi dell organizzazione dopo la fine del supporto, in preparazione delle migrazioni verso Windows 7 o Windows 8. Gli interventi devono puntare a identificare, e limitare il più possibile, le diverse tipologie di rischi sui computer, in vista della prossima transizione verso una moderna versione di Windows. In questo senso è utile: catalogare il software installato sui PC; monitorare e misurare l uso delle applicazioni, per un successivo confronto con l elenco dei software installati; individuare le applicazioni poco usate o duplicate. Inoltre è consigliabile cooperare con gli utenti e i manager aziendali per cercare di ridurre il numero delle applicazioni adottate all interno dell azienda, classificando il software per grado di criticità. I rischi maggiori, come accennato, sono associati ai computer e utenti che gestiscono dati riservati o sensibili, alle macchine esposte verso il Web, o alle applicazioni ritenute critiche per l esecuzione di alcuni processi. COSA ASPETTARSI SE NON CI SI ATTIVA IN TEMPO La pericolosità e il tasso di rischio derivante dall utilizzo di software ormai datato e non più supportato è messa in evidenza da alcuni dati interessanti, riportati dal Microsoft Security Intelligence Report. Lo studio ha scoperto che nella prima metà del 2013, quasi il 17% dei computer che nel mondo adottano prodotti Microsoft per la sicurezza con funzionamento in tempo reale è stato oggetto di attacco (che non ha avuto successo grazie alle capacità di blocco possedute dai prodotti stessi). La cosa più interessante è osservare la differenza fra gli attacchi perpetrati e gli effettivi tassi d infezione riscontrati. Infatti, nella prima metà del 2013, le varie versioni di Windows (Windows XP, Windows Vista, Windows 7 e Windows 8) hanno tutte registrato grossomodo tassi simili di contatto con il codice malevolo, variabili fra il 12 e il 19%. Tuttavia, i sistemi con installato Windows XP hanno registrato un tasso d infezione sei volte più elevato di quello delle macchine con Windows 8. Percentuale di PC sotto attacco nella prima metà del 2013 in base ai sistemi operativi usati 7 ICT4E.Guide www.ict4executive.it
Tasso di infezione rilevato su 1.000 computer scansiti Il dato evidenzia dunque il valore e i risultati positivi che le tecnologie e innovazioni di sicurezza presenti in un sistema operativo più moderno possono determinare nelle attività di protezione contro le minacce del cyberspazio. Eseguire l aggiornamento verso un sistema operativo di ultima generazione, come Windows 8, garantisce infatti l accesso a tecnologie evolute di sicurezza, progettate in maniera apposita per complicare la vita ai criminali informatici, che saranno costretti a spendere più tempo e risorse per riuscire a violare i computer. A differenza di vent anni fa, essi non sono più individui isolati, e fondamentalmente motivati da un desiderio di sfida o notorietà, ma organizzazioni capaci di agire nell ombra, dotate di notevoli competenze tecniche, e intenzionate a perpetrare gli attacchi per ricavare profitti economici, causare danni finanziari di notevole entità, o disordini sociali e politici. Dopo l 8 aprile, gli utenti non potranno più ricevere aggiornamenti di sicurezza, hotfix di altro genere o servizi di assistenza, né accedere online a contenuti tecnici aggiornati. E ciò metterà i cybercriminali in una posizione di vantaggio, perché potranno analizzare, attraverso tecniche di reverse engineering, gli aggiornamenti di sicurezza mensili rilasciati per le versioni supportate di Windows, per poi scoprire se qualcuna delle vulnerabilità riparate esiste anche in Windows XP. Del resto è già abbastanza noto quello che si rischia quando si continua a fare affidamento su una piattaforma XP che non gode più di un supporto. Nei due anni seguenti alla cessazione del supporto di Windows XP Service Pack 2, ad esempio, il tasso di infezione del malware è stato del 66% più elevato rispetto ai computer con installato Windows XP Service Pack 3, l ultima versione supportata di Windows XP. Un trend d infezione che potrebbe ripetersi quest anno, dopo l 8 aprile, in maniera simile, su tutti i computer che ancora funzionano con questo sistema operativo e sono quindi esposti agli attacchi. Tasso di infezione rilevato su 1.000 computer scansiti con XPSP2 e XPSP3 (gennaio 2010-dicembre 2012) 8 ICT4E.Guide www.ict4executive.it
L IMPORTANZA DI CAMBIARE IL PARCO MACCHINE Come si è visto, continuare a perseguire la politica di rimandare gli investimenti IT, e perseverare nell utilizzo delle macchine su cui gira Windows XP, non solo è pericoloso per la sicurezza e la salvaguardia delle informazioni di business e dei dati dei propri clienti, ma diventa anche controproducente, e non conveniente, dal punto di vista dei costi di gestione e della reale utilità dei computer. Se si è costretti a limitare le modalità di accesso ai PC con Windows XP, o a isolarli in uno spazio controllato della rete, adottando misure extra di sicurezza o soluzioni di protezione sviluppate ad hoc, tutto questo non solo genera costi aggiuntivi, ma rende anche le macchine meno produttive e sfruttabili. Solo per citare un dato economico, una stima della società di ricerche IDC indica che Windows XP risulta cinque volte più costoso in termini di operatività rispetto a Windows 7. Inoltre occorre aggiungere che spesso, in molte realtà aziendali, Windows XP si trova installato su computer caratterizzati da hardware datato. L imminenza della data dell 8 aprile impone la necessità di imboccare, se ancora non lo si è fatto, la via di migrazione più idonea a rispondere alle proprie esigenze aziendali. Una soluzione praticabile, e meno onerosa in termini di nuovi investimenti, può essere rappresentata dall aggiornamento dei computer con Windows XP alle versioni Windows 8 e Windows 8.1. Questa via è però percorribile solo se i computer dove occorre intervenire sono dotati di hardware sufficientemente potente, quindi abbastanza recente, e compatibile con i requisiti di sistema richiesti per assicurare il funzionamento con queste moderne release di Windows. Appare chiaro quindi che, potendo fare un investimento più consistente, la strategia migliore, dal punto di vista della sicurezza, dell efficienza di gestione e della produttività, è decidere per l acquisto di nuovi computer, quindi PC desktop o notebook di ultima generazione. In termini di sicurezza informatica, questa scelta garantisce una protezione migliore dalle minacce del malware, non solo in virtù della nuova architettura e dotazione di evolute funzionalità di security possedute da Windows 8 e Windows 8.1, ma anche per i benefici dell effetto sinergico sulla robustezza dei sistemi che deriva dall abbinamento di un sistema operativo moderno con un hardware altrettanto aggiornato. CONCLUSIONI Oggi ancora molte aziende, e piccole e medie imprese, hanno il sistema operativo Windows XP installato su alcuni PC della rete. Tuttavia, la scadenza dell 8 aprile 2014, momento di cessazione da parte di Microsoft del supporto per questo prodotto, ne segna la fine del ciclo di vita. L interruzione del periodico rilascio di aggiornamenti e patch di correzione dei bug, dopo l 8 aprile, lascerà esposti tali PC a notevoli rischi di protezione e sicurezza. La mancanza di difese adeguate significa infatti attacchi di malware, intrusioni, possibili sottrazioni di informazioni strategiche per il business, e perdite o corruzioni dei dati sensibili 9 ICT4E.Guide www.ict4executive.it
degli utenti. E dunque necessario arrivare alla data dell 8 aprile già preparati. Per farlo, occorre far migrare tutti i PC su cui gira ancora Windows XP verso un sistema operativo più moderno e dotato di tecnologie e funzionalità di sicurezza informatica adeguate all attuale complessità e pericolosità delle minacce. La soluzione, ove possibile, cioè nei casi in cui la dotazione hardware della macchina possiede i requisiti sufficienti, è l aggiornamento del sistema a Windows 8 e Windows 8.1. La strategia più solida, se la capacità d investimento lo consente, è però l acquisizione di nuovi computer desktop e notebook. Infatti l abbinamento di un hardware moderno a un sistema operativo di ultima generazione garantisce la miglior protezione contro le odierne sofisticate minacce informatiche. 10 ICT4E.Guide www.ict4executive.it