Sistemas legacy: cómo proteger sistemas obsoletos sin poner en riesgo la empresa

Hay empresas que llevan años sosteniendo procesos críticos sobre plataformas que el fabricante dejó de actualizar hace tiempo. No es descuido ni falta de visión: en muchos casos es una decisión operativa, económica o de compatibilidad que tiene todo el sentido desde dentro. Puede acumular vulnerabilidades para las que ya no existen actualizaciones ordinarias del fabricante o cuya corrección resulta especialmente compleja.

Proteger los sistemas legacy no significa resignarse a vivir con el riesgo. Significa aplicar una capa de controles inteligentes que reduzcan la exposición mientras se avanza, a un ritmo realista, hacia una modernización sostenible.

Un sistema legacy es una plataforma, aplicación o infraestructura tecnológica heredada que, por su antigüedad, arquitectura o dependencia de tecnologías obsoletas, resulta difícil de mantener, integrar o proteger. Puede estar fuera de soporte o contar únicamente con un soporte limitado.

Pueden ser servidores con sistemas operativos antiguos, aplicaciones de gestión desarrolladas a medida hace más de una década, bases de datos sin versión de mantenimiento o equipos industriales con software embebido que no admite actualización.

Su permanencia en los entornos productivos tiene explicaciones concretas. La migración puede costar mucho dinero o tiempo. La aplicación puede estar integrada con procesos que no tienen sustituto inmediato. El equipo que la desarrolló ya no existe. O simplemente el riesgo de mover algo que funciona se percibe mayor que el riesgo de dejarlo como está. Esa percepción, comprensible, es precisamente la que más conviene revisar.

Porque un sistema sin soporte no recibe parches de seguridad. Las vulnerabilidades conocidas pueden quedar documentadas públicamente sin que exista un parche oficial, lo que aumenta la exposición si no se aplican controles compensatorios.

La ciberseguridad en sistemas legacy exige una gestión de vulnerabilidades específica. Los fallos de los sistemas sin soporte no solo afectan al equipo en cuestión: también pueden comprometer todo lo que está conectado a él. Un servidor antiguo con un protocolo de red obsoleto puede convertirse en el punto de entrada que da acceso lateral a servidores modernos, bases de datos actualizadas o credenciales corporativas.

Los vectores de ataque más comunes en entornos con sistemas obsoletos incluyen protocolos de comunicación sin cifrado, servicios con credenciales por defecto que nunca se cambiaron, puertos abiertos sin justificación activa y software con exploits públicos sin parche disponible. En muchos casos, el atacante no necesita ninguna técnica avanzada: basta con lanzar un escaneo básico y aprovechar lo que encuentra.

El impacto puede ir desde el robo de información hasta la paralización de la operativa. Y en sectores como la industria, la sanidad o los servicios financieros, donde los sistemas legacy son especialmente frecuentes, ese tipo de incidente tiene consecuencias que van más allá de lo técnico: afecta a clientes, a la reputación y, en muchos casos, al cumplimiento normativo.

Sería fácil decir que la solución es migrar cuanto antes. Pero la modernización de sistemas legacy tiene una realidad que cualquier responsable de IT conoce bien: no se puede migrar un sistema crítico en producción con prisa sin poner en riesgo la continuidad del negocio.

Hay sistemas que llevan décadas integrados en flujos de trabajo que nadie ha documentado completamente. Hay aplicaciones que dependen de versiones antiguas de librerías que ya no existen en las plataformas modernas. Hay proveedores que dejaron de operar. Y hay equipos que no tienen capacidad operativa para asumir un proyecto de migración sin descuidar el mantenimiento diario.

Todo esto significa que, en la práctica, la protección de los sistemas legacy es un problema que hay que resolver ahora, con lo que hay, mientras se planifica una estrategia de modernización a medio o largo plazo. Las dos cosas deben ir en paralelo: proteger el presente y construir el futuro.

La protección de sistemas obsoletos no requiere reemplazarlos de golpe. Requiere aplicar controles compensatorios que reduzcan la superficie de ataque y limiten el radio de daño en caso de incidente. Las siguientes estrategias se encuentran entre las más habituales y efectivas, aunque deben adaptarse al riesgo y a las limitaciones de cada entorno.

No se puede proteger lo que no se conoce. El punto de partida habitual es disponer de un inventario tecnológico suficientemente completo y actualizado: servidores, sistemas operativos, versiones de aplicaciones, protocolos en uso, dependencias entre sistemas y nivel de soporte activo de cada componente.

Este inventario nos permitirá identificar qué sistemas están fuera de soporte, qué nivel de criticidad tiene cada uno y qué conexiones mantienen con el resto de la infraestructura. Sin esa foto clara, cualquier medida de seguridad se aplica a ciegas y con el riesgo de dejar huecos importantes sin cubrir. Una auditoría de ciberseguridad es, en muchos casos, el mecanismo más eficiente para construir esa visión de conjunto de forma rigurosa.

La segmentación IT es una de las medidas de mayor impacto para proteger sistemas legacy. Consiste en aislar los sistemas obsoletos en segmentos de red separados, de modo que, si uno resulta comprometido, una segmentación correctamente diseñada puede dificultar y limitar el movimiento lateral hacia el resto de la infraestructura.

Esta segmentación puede implementarse mediante VLAN combinadas con firewalls internos o listas de control de acceso, así como mediante microsegmentación. La separación lógica debe acompañarse de reglas que controlen de forma efectiva el tráfico permitido entre segmentos.

Una segmentación bien ejecutada no solo protege al sistema legacy: protege también al resto de la empresa frente a un posible movimiento lateral originado en ese sistema.

Cuando no existe parche disponible, queda el endurecimiento de la configuración. El hardening aplicado a sistemas legacy consiste en desactivar servicios innecesarios, cerrar puertos no utilizados, eliminar cuentas inactivas, revisar permisos y aplicar las configuraciones más restrictivas que el sistema admita sin romper su funcionalidad.

No todos los sistemas legacy admiten el mismo nivel de hardening, pero casi siempre hay margen de mejora respecto a la configuración por defecto. Un servidor antiguo que solo necesita ofrecer una aplicación interna no debería tener habilitados protocolos de administración remota accesibles desde toda la red, ni cuentas de usuario sin contraseña, ni servicios que nadie usa. Reducir esa configuración al mínimo imprescindible limita la superficie de ataque sin necesidad de sustituir de inmediato la plataforma.

Si no se puede parchear, al menos se puede observar. La monitorización activa de los sistemas legacy permite detectar comportamientos anómalos: conexiones inusuales, intentos de acceso fallidos, tráfico fuera de los patrones habituales o actividad en horas no esperadas.

Un sistema legacy que no genera alertas no es un sistema seguro: es un sistema del que simplemente no se sabe lo que está pasando. Por lo que llevar a cabo un mantenimiento y monitorización adecuados puede mejorar la visibilidad y facilitar una respuesta más temprana. Cuando el sistema no admite agentes o genera pocos registros, puede complementarse con monitorización de red y controles externos.

Los sistemas legacy suelen arrastrar modelos de acceso heredados: cuentas compartidas, contraseñas que no se rotan, usuarios con permisos excesivos o accesos que se abrieron para resolver un problema puntual y nunca se cerraron. Revisar y limpiar esta capa es una de las acciones de mayor impacto inmediato.

Cuando el sistema lo permita, deben reforzarse las contraseñas y la autenticación. Si no admite controles modernos, pueden implantarse medidas externas como bastiones de acceso, redes de administración, MFA en la pasarela o herramientas de gestión de accesos privilegiados.