Sistemas heredados y su riesgo

Un sistema sin soporte del fabricante ya no recibe correcciones, y eso lo vuelve más débil. Pero también lo vuelve más frágil: si una prueba lo tumba, puede no haber quién lo levante, ni código fuente, ni repuesto. Por eso las reglas de enfrentamiento de un encargo público suelen pedir para estos sistemas una copia restaurada, verificaciones de solo lectura en una ventana de mantenimiento y una copia de seguridad confirmada antes.

El riesgo que se informa no es solo «está viejo». Es la combinación de tres cosas: sin soporte, expuesto y con datos que importan.

Cruza el inventario con la tabla de publicación hacia internet. Un heredado interno ya es un riesgo; uno que cualquiera puede alcanzar desde fuera es otro nivel.

El comité no necesita la lista de todo lo viejo; necesita saber cuántos sistemas reúnen las dos condiciones que más pesan en un servicio ciudadano: soporte vencido a la fecha de la prueba y datos de ciudadanos dentro.

Cuando un sistema no se puede corregir, la entidad declara controles compensatorios: filtros de origen, copias fuera de línea, monitoreo. Un evaluador no los da por buenos porque estén aprobados por un comité; contrasta lo declarado con la configuración que entregó la entidad. Un control deshabilitado es un hallazgo aparte, y a menudo más fácil de corregir que el sistema mismo.

Recomendar «reemplazar el sistema» sin más no sirve en una entidad que depende de un presupuesto anual y de un proceso de contratación para hacerlo. La recomendación útil separa lo inmediato de lo estructural y deja un responsable que asuma formalmente el riesgo mientras tanto.