De nieuwe druk om verouderde systemen buiten gebruik te stellen

Cyberweerbaarheid, gegevensintegriteit en wettelijke verantwoordingsplicht in het tijdperk van DORA, NIS2, AI en digitaal bewijsmateriaal

Vroeger werden verouderde systemen vooral gezien als een probleem op het gebied van IT-kosten.

Het onderhoud ervan was duur, de integratie was lastig en ze waren afhankelijk van verouderde infrastructuur. Veel organisaties namen die kosten voor lief, omdat de systemen nog steeds historische gegevens bevatten die iemand wellicht nodig zou hebben voor auditdoeleinden, juridische of regelgevingsdoeleinden of voor de klantenservice.

Dat standpunt wordt steeds moeilijker te verdedigen.

Tegenwoordig vormen legacy-systemen ook een probleem voor de veerkracht. Ze vergroten het aanvalsoppervlak. Ze bemoeilijken het herstel. Ze brengen verborgen ICT-risico’s met zich mee. Ze zijn moeilijk te monitoren, te patchen, te testen en te beheren. Ze kunnen gegevens bevatten die nog steeds juridisch of operationeel relevant zijn, maar waarvan de integriteit, herkomst en context na verloop van tijd steeds moeilijker aan te tonen zijn.

Tegelijkertijd wordt van organisaties op grond van regelgeving en toezichtsverwachtingen in toenemende mate verlangd dat zij aantonen dat zij controle hebben over ICT-risico’s, gegevensintegriteit, archivering, controleerbaarheid en bewijsvoering.

De vraag is niet langer alleen:

Kunnen wij het ons veroorloven om dit verouderde systeem in bedrijf te houden?

De betere vraag is:

Kunnen wij het nog steeds rechtvaardigen om dit verouderde risico online te laten bestaan, terwijl de gegevens in een betrouwbaar archief zouden kunnen worden bewaard?

Legacy is niet langer alleen een probleem op het gebied van IT-kosten

Al jarenlang, verouderde buitengebruikstelling van applicaties werd voornamelijk gepresenteerd als een onderwerp op het gebied van IT-efficiëntie.

De gebruikelijke argumenten waren bekend:

Licentiekosten verlagen
Verouderde infrastructuur verwijderen
Het applicatielandschap vereenvoudigen
De onderhoudsinspanning verminderen
Zorg ervoor dat schaarse technische vaardigheden beschikbaar komen
Ondersteuning bieden bij cloudmigratie of platformmodernisering

Die argumenten zijn nog steeds van belang.

Maar dat is niet langer het volledige verhaal.

Verouderde systemen vormen een steeds groter risico, omdat ze deel blijven uitmaken van het operationele en beveiligingslandschap, zelfs wanneer hun bedrijfsfunctie grotendeels is verdwenen.

Veel van deze systemen blijven alleen in stand omdat historische gegevens niet naar behoren zijn gearchiveerd. Deze systemen ondersteunen wellicht geen actieve processen meer, maar er zijn nog steeds accounts, infrastructuur, back-ups, monitoring, beveiligingspatches, toegangscontrole, ondersteuningscontracten en herstelprocedures voor nodig.

Indien de enige reden waarom een systeem nog online blijft, het raadplegen van historische gegevens is, dient de organisatie zich af te vragen of het systeem nog steeds een troef is, of dat het een vermijdbaar risico is geworden.

Een verouderd systeem dat uitsluitend in stand wordt gehouden om toegang tot historische gegevens mogelijk te maken, is geen bedrijfsapplicatie. Het vormt een risicopunt.

Drie ontwikkelingen geven een nieuwe wending aan de discussie over verouderde systemen

De druk om verouderde systemen buiten gebruik te stellen en te ontmantelen komt uit drie richtingen.

Deze drie golven leiden tot dezelfde conclusie:

Verouderde systemen mogen niet online blijven staan, louter en alleen omdat er nog geen betrouwbaar alternatief voor archivering is ontwikkeld.

Verouderde systemen kunnen de veerkracht op verschillende manieren ondermijnen:

Het is mogelijk dat zij op niet-ondersteunde software of besturingssystemen draaien.
Het is mogelijk dat zij afhankelijk zijn van verouderde databases, middleware of infrastructuur.
Het kan lastig zijn om hier patches voor aan te brengen zonder de bedrijfslogica te verstoren.
Het is mogelijk dat zij gebruikmaken van zwakke of verouderde authenticatiemethoden.
Deze kunnen inactieve gebruikersaccounts of onbeheerde serviceaccounts bevatten.
Het is mogelijk dat ze niet goed kunnen worden geïntegreerd met moderne monitoring- en detectietools.
Het is mogelijk dat ze onvoldoende gedocumenteerd zijn.
Er kunnen onbekende afhankelijkheden zijn.
Het kan lastig zijn om deze na een incident te herstellen.
Het kan zijn dat zij een beroep doen op leveranciers of interne deskundigen die niet langer beschikbaar zijn.

Waarom verouderde systemen de cyberweerbaarheid ondermijnen

Cyberweerbaarheid gaat niet alleen over het beschermen van actieve systemen. Het gaat ook om het beperken van onnodige blootstelling.

Elk verouderd systeem dat nog steeds online blijft, zorgt voor extra complexiteit.

Meer systemen betekent meer bedrijfsmiddelen die moeten worden geïnventariseerd, meer kwetsbaarheden die moeten worden beheerd, meer toegangsrechten die moeten worden gecontroleerd, meer back-ups die moeten worden gecontroleerd, meer herstelprocedures die moeten worden getest en meer incidenten die moeten worden onderzocht.

De veerkracht wordt niet alleen vergroot door kritieke systemen te versterken, maar ook door overbodige systemen uit het risicolandschap te verwijderen.

DORA: verouderde systemen als een kwestie van ICT-risicobeheer

De Digital Operational Resilience Act verandert de manier waarop financiële instellingen moeten omgaan met ICT-risico’s.

DORA heeft niet alleen betrekking op cyberbeveiligingsincidenten. Het biedt een breed kader voor digitale operationele veerkracht dat onder meer betrekking heeft op ICT-risicobeheer, governance, het in kaart brengen van ICT-middelen en -risico’s, bescherming, preventie, detectie, respons, herstel, back-up, terugzetting, testen en risico’s in verband met externe ICT-partijen.

Dit is van belang voor verouderde systemen.

Een legacy-applicatie die nog steeds online is voor toegang tot historische gegevens, blijft deel uitmaken van de ICT-omgeving. Deze moet worden geïdentificeerd, beveiligd, gemonitord, beheerd en moet herstelbaar zijn. Indien deze afhankelijk is van verouderde infrastructuur of een externe leverancier, kan dit ook het ICT-risico met betrekking tot derden vergroten. Indien deze niet op de juiste wijze wordt meegenomen in veerkrachttests, back-upprocedures of beoordelingen van de toegangscontrole, vormt dit een zwakke schakel in het ICT-risicokader.

Voor financiële instellingen, dan rijst de vraag:

Kunnen wij aantonen dat elk legacy-systeem dat nog online is, noodzakelijk is, onder controle staat, herstelbaar is en in verhouding staat tot het bijbehorende risico?

Indien het antwoord ‘nee’ is, is toegang uitsluitend tot het archief wellicht een betere strategie.

NIS2: risicobeheer op het gebied van cyberbeveiliging bij essentiële en belangrijke entiteiten

NIS2 verbreedt de discussie over risicobeheer op het gebied van cyberbeveiliging tot buiten de financiële sector.

Het is van toepassing op een breed scala aan essentiële en belangrijke entiteiten in sectoren zoals energie, vervoer, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening, openbaar bestuur, ruimtevaart, postdiensten, afvalbeheer, chemische stoffen, levensmiddelen, de verwerkende industrie en digitale dienstverleners.

De richtlijn legt meer nadruk op technische, operationele en organisatorische maatregelen voor het beheer van cyberbeveiligingsrisico’s.

Verouderde systemen zijn van belang omdat zij vaak buiten het bereik van het beheer vallen. Zij zijn wellicht niet langer bedrijfskritisch, maar bevatten nog steeds gevoelige gegevens. Zij krijgen misschien niet dezelfde aandacht als actieve kernsystemen, maar vormen nog steeds een cyberrisico.

Voor organisaties in sectoren die onder NIS2 vallen, luidt de vraag met betrekking tot verouderde systemen als volgt:

Waarom zouden verouderde systemen online blijven staan als hun enige resterende doel het raadplegen van historische gegevens is?

Betrouwbare archivering kan helpen om het actieve systeemlandschap te verkleinen, terwijl de toegang tot de informatie die nog moet worden bewaard, gewaarborgd blijft.

Het verborgen risico van het in stand houden van systemen ten behoeve van toegang tot historische gegevens

Veel verouderde systemen worden niet in stand gehouden omdat ze nog steeds van operationele waarde zijn.

Ze worden bewaard omdat iemand op een dag wellicht iets moet opzoeken.

Dit leidt tot een gevaarlijk compromis.

De organisatie draagt de kosten en risico’s van een operationeel systeem, maar profiteert slechts van de waarde van een historisch archief.

Dat is inefficiënt en riskant.

Toch krijgt het wellicht niet dezelfde aandacht op het gebied van governance als een modern kernsysteem.

Hierdoor ontstaat er een kloof tussen het waargenomen risico en de daadwerkelijke blootstelling.

Indien een systeem uitsluitend nodig is voor het raadplegen van historische gegevens, is „toegang uitsluitend voor archiveringsdoeleinden” de veiligere aanpak, en niet permanente, alleen-lezen toegang tot verouderde systemen.

Een verouderd systeem dat in gebruik blijft om toegang tot historische gegevens mogelijk te maken, kan nog steeds het volgende vereisen:

Gebruikersaccounts
Toegang met speciale rechten
Serviceaccounts
Netwerkverbinding
Databasebeheer
Procedures voor het maken van back-ups en het terugzetten van gegevens
Beheer van kwetsbaarheden
Monitoring
Ondersteuning door leveranciers
Planning van de respons op incidenten
Testen van noodherstelprocedures

Gegevensintegriteit: wanneer oude gegevens nog steeds moeten worden aangetoond

Cyberweerbaarheid vormt slechts een deel van de druk.
In veel gereguleerde sectoren is het vertrouwen in bewijsmateriaal het grootste probleem.

Historische gegevens moeten niet alleen bestaan. Ze moeten ook begrijpelijk, volledig, traceerbaar en betrouwbaar blijven.

Organisaties moeten mogelijk het volgende aantonen:

De herkomst van de gegevens
Door welk systeem is het gemaakt?
Wie heeft dit ingevoerd of goedgekeurd?
Of dit is gewijzigd
Welke versie is de officiële versie?
Of het dossier volledig is
Welk audittraject is van toepassing?
Welke metagegevens geven uitleg over het record?
Welke bewaarregel is van toepassing?
Of de gegevens nu zijn gemigreerd of getransformeerd
Of het bewijsmateriaal betrouwbaar is bij een audit, inspectie, onderzoek of juridisch geschil

Een database-export zonder context is wellicht niet voldoende. Een back-up is wellicht niet voldoende. Het delen van bestanden is wellicht niet voldoende.

Hoe strenger de regelgeving, hoe belangrijker herkomst, controleerbaarheid en integriteit worden.

Gegevens die niet kunnen worden geverifieerd, zijn onbetrouwbaar. In gereguleerde omgevingen kunnen onbetrouwbare gegevens onbruikbaar worden.

Levenswetenschappen: gegevensintegriteit kan een belemmering vormen voor de naleving van regelgeving

Levenswetenschappen Dit is een duidelijk voorbeeld van waarom historische gegevens niet als gewone verouderde gegevens kunnen worden behandeld.

Klinische onderzoeken, laboratoriumgegevens, kwaliteitsdocumentatie, validatiedocumenten, aanvragen bij regelgevende instanties, geneesmiddelenbewakingsdocumentatie en batchdocumentatie kunnen nog lang relevant blijven, ook nadat de systemen waarmee ze zijn aangemaakt, zijn gewijzigd of verdwenen.

In deze sector staan beginselen inzake gegevensintegriteit, zoals ALCOA++, centraal. Documenten moeten herleidbaar, leesbaar, actueel, authentiek, nauwkeurig, volledig, consistent, duurzaam en toegankelijk blijven.

Een nuttig recent voorbeeld is de zaak rond Applied Therapeutics. De FDA heeft een waarschuwingsbrief verstuurd na een inspectie voorafgaand aan de goedkeuring in verband met een klinische studie, en het bedrijf ontving tevens een „Complete Response Letter” met betrekking tot zijn aanvraag voor een nieuw geneesmiddel. Uit openbare rapportages en de brief van de FDA blijkt dat er tekortkomingen waren in de klinische toepassing en dat er inspectiebevindingen waren. Deze zaak mag niet te simplistisch worden voorgesteld, maar zij illustreert wel hoe de integriteit van klinische gegevens, elektronische dossiers, de controleerbaarheid en inspectiebevindingen een directe invloed kunnen hebben op het risico met betrekking tot de goedkeuring door de regelgevende instanties.

De les reikt verder dan één bedrijf.

Indien een sponsor of een gereguleerde organisatie de gegevens die ten grondslag liggen aan een gereguleerde activiteit niet kan reconstrueren, toelichten, verifiëren en vertrouwen, kan dit leiden tot inspectierisico’s, goedkeuringsrisico’s, procesrisico’s of herstelkosten.

In de sector Life Sciences moet bij het buiten gebruik stellen van verouderde systemen de gereedheid voor inspecties gewaarborgd blijven; het gaat niet louter om toegang tot historische gegevens.

AI-wet: historische gegevens worden gereguleerde AI-input

De AI-wet biedt nog een reden om historische gegevens serieus te nemen.
Historische gegevens worden steeds vaker gebruikt voor analyse, automatisering, modelontwikkeling, validatie, testen en besluitvormingsondersteuning. In gereguleerde omgevingen betekent dit dat oude gegevens als input kunnen dienen voor nieuwe AI-systemen.

Voor AI-systemen met een hoog risico wordt gegevensbeheer een formele vereiste. Organisaties moeten inzicht hebben in de herkomst van de gegevens, de processen voor gegevensverzameling, de voorbereidende handelingen, de geschiktheid, de beperkingen, de risico’s op vertekening, de volledigheid en de relevantie. Logboekregistratie en traceerbaarheid worden eveneens belangrijk voor de verantwoordingsplicht gedurende de gehele levenscyclus van de AI.

Dit zorgt voor een direct verband met het behoud van historische gegevens.

Dit is geen traditioneel archiefprobleem. Het is een probleem op het gebied van gegevensbeheer en bewijsvoering.

Legacy-gegevens zijn niet zomaar oude gegevens. In het tijdperk van de AI kunnen deze gegevens onderworpen raken aan regelgeving.

Indien historische gegevens worden gebruikt voor het trainen, valideren, testen of onderbouwen van door AI ondersteunde beslissingen, moet de organisatie het volgende kunnen toelichten:

Waar de gegevens vandaan komen
Waarom deze gegevens zijn verzameld
Of het nu volledig is
Of het nu representatief is
Of het nu werd gereinigd, geëtiketteerd, verrijkt of getransformeerd
Welke versie werd gebruikt?
Of er nu vooringenomenheid of hiaten in zitten
Of het rechtmatig mag worden hergebruikt
Hoe de herkomst en de authenticiteit ervan worden gedocumenteerd

Dit is van belang bij het buiten gebruik stellen van verouderde systemen, aangezien gegevens met betrekking tot antiwitwasmaatregelen en klantonderzoek vaak verspreid zijn over meerdere systemen:

Onboardingplatforms
KYC-systemen
Hulpmiddelen voor casemanagement
Systemen voor transactiecontrole
Documentbeheersystemen
Archief van de communicatie met klanten
Kernbanksystemen
CRM-platforms
Verouderde databases

AMLR: om aan de wettelijke verantwoordingsplicht te voldoen, is een gecontroleerde administratie vereist

De regelgeving inzake de bestrijding van witwassen onderstreept tevens de noodzaak van een betrouwbare administratie.

Krachtens de EU-verordening inzake de bestrijding van witwassen zijn verplichte entiteiten verplicht om informatie over de klantenonderzoeksprocedure, verslagen van bepaalde beoordelingen, bewijsstukken en transactiegegevens te bewaren. Deze gegevens moeten ter beschikking staan van de bevoegde autoriteiten en moeten bijdragen aan de preventie, opsporing, het onderzoek en de vervolging van financiële criminaliteit.

Wanneer deze systemen worden vervangen, samengevoegd of buiten gebruik gesteld, moeten organisaties ervoor zorgen dat de bewaarde documenten toegankelijk, volledig, beheerd en betrouwbaar blijven.

De combinatie van verplichtingen inzake klantenonderzoek en vereisten voor het bewaren van documenten maakt het duidelijk noodzakelijk om een gestructureerd bewaarbeleid te hanteren.

Gegevens over financiële criminaliteit mogen niet verloren gaan in verouderde systemen. Zij moeten toegankelijk, betrouwbaar en gecontroleerd blijven voor toezichtdoeleinden.

Waarom een back-up geen bewijsbehoud is

Back-ups zijn essentieel voor herstel. Ze zijn niet hetzelfde als bewaring van bewijsmateriaal op lange termijn.

Een back-up biedt een antwoord op een herstelvraag:

Kunnen wij het systeem of de gegevens na een incident herstellen?

Een archief biedt een antwoord op een vraag over bewijsmateriaal:

Kunnen wij de informatie nog terugvinden, begrijpen, vertrouwen en verifiëren nadat het oorspronkelijke systeem niet meer bestaat?

Back-ups zijn doorgaans systeemgericht. Ze zijn bedoeld voor herstel, niet voor gecontroleerde toegang tot historische gegevens. Het kan lastig zijn om erin te zoeken. Ze behouden de zakelijke context mogelijk niet op een bruikbare manier. Ze bieden mogelijk geen ondersteuning voor bewaarregels, juridische bewaarplicht, audittrails of gecontroleerde toegang voor zakelijke en regelgevende gebruikers.

Een gereguleerd archief moet meer doen.

Het dient het volgende te behouden:

Gegevens
Documenten
Metagegevens
Relaties
Herkomst
Gevalideerde ingest
Controlesporen
Toegangsregels
Bewaarregels
Wettelijke bewaarplichten
Aanwijzingen voor migratie of transformatie

Met een back-up kunt u een systeem herstellen. Betrouwbare archivering helpt u bewijsmateriaal te bewaren wanneer het systeem niet meer bestaat.

Waarom een volledige migratie niet altijd de oplossing is

Sommige organisaties pakken het risico van verouderde systemen aan door alles naar een nieuw operationeel systeem te migreren.

Dat geldt wellicht voor actuele gegevens. Voor historische gegevens geldt dit echter niet altijd.

Een volledige migratie kan nieuwe problemen veroorzaken:

Het nieuwe systeem raakt overbelast met inactieve gegevens
De historische gegevens voldoen niet aan het nieuwe gegevensmodel
Tijdens de transformatie gaat de context verloren
Historische feiten worden gewijzigd of vereenvoudigd
Oude gegevens worden opnieuw actief zonder dat daar een zakelijke noodzaak voor is
De blootstelling van privacygegevens en bewijsmateriaal neemt toe
De regels inzake gegevensbewaring worden moeilijker te handhaven
De migratiekosten stijgen sterk
Het nieuwe systeem kampt met bestaande problemen op het gebied van gegevenskwaliteit
Wettelijke bewaarplichten
Aanwijzingen voor migratie of transformatie

Voor inactieve, afgesloten, historische of bewijskrachtige gegevens is toegang uitsluitend via het archief vaak robuuster dan een volledige migratie.

Migratie is bedoeld voor actieve gegevens. Betrouwbare archivering is bedoeld voor historisch bewijsmateriaal.

Toegang uitsluitend tot het archief als veerkrachtpatroon

Toegang uitsluitend tot het archief is een strategische aanpak om risico’s in verband met verouderde systemen te beperken
zonder dat dit ten koste gaat van de historische waarde.

Hierdoor kunnen organisaties verouderde systemen buiten gebruik stellen, terwijl
het bewaren van de informatie die nog steeds van belang is.

Toegang uitsluitend tot het archief leidt tot een vermindering van:

Actieve systemen
Gebruikersaccounts
Toegang met speciale rechten
Verouderde infrastructuur
Niet-ondersteunde software
Niet-beheerde databases
Afhankelijkheid van verouderde leveranciers
De complexiteit van back-ups en herstel
Belasting door monitoring
Aanvalsoppervlak

Tegelijkertijd blijft het volgende behouden:

Historische gegevens
Documenten
Metagegevens
Relaties
Zakelijke context
Auditbaarheid
Herkomst
Integriteit
Bewaarplicht
Behoud
Integriteitsbewijs

Hierdoor is toegang uitsluitend tot het archief niet alleen van belang voor kostenbesparing,
maar ook op het gebied van cyberweerbaarheid, operationele weerbaarheid en regelgeving
verantwoordingsplicht.

Hoe verouderde systemen buiten gebruik te stellen zonder bewijsmateriaal te verliezen

Een robuust programma voor het buiten gebruik stellen van applicaties dient
een vastgestelde volgorde aanhouden.

Legacy-systemen in kaart brengen

Stel een inventaris op van systemen die niet langer
strategisch of operationeel noodzakelijk.

Risico’s en waarde indelen

Stel vast welke systemen cyber- en operationele risico’s veroorzaken,
risico’s op het gebied van regelgeving, wetgeving of gegevensintegriteit.

Gegevens en documenten beoordelen

Stel vast welke gegevens actief, historisch of aan regelgeving onderworpen zijn,
gevoelig, overbodig of juridisch relevant.

Definitie van bewaartermijn en juridische bewaarplicht

Bepaal wat bewaard moet blijven, wat verwijderd mag worden en
wat op grond van wettelijke of regelgevende bepalingen moet worden bewaard
beperkingen.

Maak een onderscheid tussen actuele gegevens en historische gegevens

Migreer alleen wat nog operationeel is. Archiveer wat
moet toegankelijk en betrouwbaar blijven.

Gegevens, documenten en metagegevens extraheren

Behoud de inhoud, de structuur, de relaties en
de context die nodig is om de documenten te begrijpen.

Controleer de volledigheid en integriteit

Bewijs dat het archief bevat wat het zou moeten bevatten
en dat het bewijsmateriaal betrouwbaar blijft.

Toegang uitsluitend tot het gereguleerde archief inschakelen

Zorg voor gecontroleerde toegang voor bevoegde gebruikers, auditors,
toezichthouders, juridische teams of zakelijke belanghebbenden.

Het bronsysteem buiten gebruik stellen

Infrastructuur, accounts, interfaces en licenties verwijderen
en verouderde afhankelijkheden nadat het bewijs is
bewaard.

Het archief in de loop van de tijd beheren

Zorg voor bewaartermijnen, juridische bewaarplicht, toegangscontrole en integriteit
controles, controleerbaarheid en gecontroleerde export.

Docbyte Vault: het verminderen van risico’s in verband met verouderde systemen met behoud van bewijsmateriaal

Docbyte Vault helpt organisaties bij de overstap van een verouderd systeem
afhankelijkheid van toegang uitsluitend via een vertrouwd archief.

Hiermee kunnen organisaties verouderde applicaties buiten gebruik stellen
met behoud van de gegevens, documenten, metagegevens en relaties
en de zakelijke context die nog steeds van belang zijn.

Docbyte Vault draagt bij aan het behoud van:

Gestructureerde gegevens
Documenten
Metagegevens
Relaties
Zakelijke context
Controlesporen
Bewaarregels
Wettelijke bewaarplichten
Herkomst
Gevalideerde ingest
Integriteitsbewijs

Het helpt organisaties om het volgende te verminderen:

Afhankelijkheid van verouderde systemen
Aanvalsoppervlak van verouderde applicaties
Ongecontroleerde toegang tot historische gegevens
Complexiteit van het herstel
Afhankelijkheid van verouderde infrastructuur
Onderhoudskosten op lange termijn
Bewijsrisico als gevolg van onvolledige of onbetrouwbare exportgegevens

Docbyte Vault mag niet worden gepositioneerd als een cyberbeveiligingstool, een
Een AI-compliance-tool of een complete oplossing voor DORA, NIS2, de AI-wet of AMLR
oplossing voor naleving.

Het dient als volgt te worden geplaatst:

De betrouwbare archieflaag waarmee organisaties hun
risico’s van verouderde systemen, met behoud van het bewijsmateriaal voor toezichthouders,
wat accountants en zakelijke gebruikers nog steeds verwachten.

Schakel het systeem uit. Bewaar het bewijsmateriaal. Beperk het risico.

Vervolg van de reeks over het uitfaseren van applicaties

Op deze pagina wordt uitgelegd waarom er druk wordt uitgeoefend om de installatie buiten gebruik te stellen
Het aantal verouderde systemen neemt toe. Voor een beter begrip
Voor meer informatie over de terminologie en de sectorspecifieke toepassingsvoorbeelden kunt u het volgende lezen:
andere handleidingen in deze reeks.

Deel 1: Buitengebruikstelling, ontmanteling, uitfasering of archivering van applicaties?

Deel 2: Wanneer het bedrijf verdergaat, moet het bewijsmateriaal bewaard blijven

Veelgestelde vragen (FAQ)

Waarom vormen verouderde systemen een risico voor de cyberweerbaarheid?

Verouderde systemen kunnen op niet-ondersteunde software draaien, gebruikmaken van verouderde authenticatiemethoden, onbeheerde accounts bevatten, afhankelijk zijn van verouderde infrastructuur en moeilijk te monitoren, te patchen of te herstellen zijn. Zelfs als zij operationeel niet langer van belang zijn, vergroten zij nog steeds het actieve risicovlak.

Wat is het verband tussen DORA en het buiten gebruik stellen van verouderde systemen?

DORA verplicht financiële instellingen om ICT-risico’s op een gestructureerde manier te beheren. Verouderde systemen die online blijven staan om toegang tot historische gegevens mogelijk te maken, blijven ICT-middelen en moeten worden beheerd, beveiligd, gemonitord, herstelbaar zijn en in verhouding staan tot het risico dat zij inhouden. Het buiten gebruik stellen van verouderde systemen kan helpen om onnodige ICT-complexiteit te verminderen.

Wat is het verband tussen NIS2 en verouderde systemen?

NIS2 stelt hogere eisen aan het risicobeheer op het gebied van cyberbeveiliging bij essentiële en belangrijke entiteiten in tal van sectoren. Verouderde systemen kunnen een risico vormen indien zij onvoldoende worden beheerd, niet meer worden ondersteund of uitsluitend online worden gehouden voor historische doeleinden.

Waarom volstaat een back-up niet als bewijsmateriaal in het kader van de regelgeving?

Back-ups zijn bedoeld voor herstel. Het bewaren van bewijsmateriaal in het kader van regelgeving vereist doorzoekbare, gecontroleerde, contextuele en betrouwbare toegang tot documenten, metagegevens, relaties, audittrajecten, bewaarregels, juridische bewaarplichten en herkomstgegevens.

Waarom zouden we niet alle oude gegevens naar het nieuwe systeem overzetten?

Historische gegevens sluiten mogelijk niet aan bij het nieuwe operationele model en hoeven wellicht niet langer actief te zijn. Het migreren van alle gegevens kan leiden tot hogere kosten, grotere complexiteit, een groter privacyrisico en een hoger risico voor de gegevenskwaliteit. Toegang uitsluitend voor archiveringsdoeleinden is vaak geschikter voor historisch bewijsmateriaal.

Welk verband bestaat er tussen gegevensintegriteit en het buiten gebruik stellen van verouderde systemen?

Wanneer verouderde systemen buiten gebruik worden gesteld, moeten organisaties ervoor zorgen dat de gegevens volledig, betrouwbaar, traceerbaar en toegankelijk blijven. Dit is met name van belang in gereguleerde sectoren zoals de biowetenschappen, de financiële sector, de gezondheidszorg, de chemische industrie en de productiesector.

In hoeverre is de AI-wet van belang voor historische gegevens?

Historische gegevens kunnen worden hergebruikt voor het trainen, valideren en testen van AI of ter ondersteuning van besluitvorming. In AI-toepassingen met een hoog risico hebben organisaties behoefte aan een krachtig gegevensbeheer, waarbij onder meer inzicht moet bestaan in de herkomst, geschiktheid, volledigheid en beperkingen van de gegevens.

In hoeverre is de AML-regelgeving van belang voor de archivering van historische gegevens?

Krachtens de AML-verplichtingen moeten bepaalde gegevens inzake klantenonderzoek, transactiebewijzen en beoordelingsverslagen worden bewaard en ter beschikking worden gesteld aan de bevoegde autoriteiten. Indien deze gegevens in verouderde systemen zijn opgeslagen, moeten de toegankelijkheid, integriteit en controle ervan bij het buiten gebruik stellen gewaarborgd blijven.

Wat houdt „toegang uitsluitend tot het archief“ in?

Met „alleen-archieftoegang” kunnen bevoegde gebruikers historische gegevens raadplegen via een beheerd archief, in plaats van het oorspronkelijke verouderde systeem online te houden.

Hoe helpt Docbyte Vault daarbij?

Docbyte Vault bewaart gestructureerde gegevens, documenten, metagegevens, relaties, audittrajecten, bewaartermijnen, juridische bewaarplichten, herkomstgegevens en integriteitsbewijzen in een gecontroleerd archief. Hierdoor kunnen organisaties hun afhankelijkheid van verouderde systemen verminderen en tegelijkertijd betrouwbare toegang tot historische documenten behouden.

Houdt u verouderde systemen nog steeds in de lucht om toegang tot historische gegevens te behouden?

Als een verouderd systeem alleen nog online blijft omdat iemand de gegevens wellicht nog nodig heeft, is het wellicht tijd om
de strategie heroverwegen.

Docbyte Vault helpt organisaties bij het bewaren van historische gegevens, de zakelijke context en de bewijskracht in een
een beheerd archief, zodat verouderde systemen buiten gebruik kunnen worden gesteld zonder dat de bewijsmaterialen die nog van belang zijn, verloren gaan.