Door een AV vendor is maandag in een buurland van de daken geroepen dat er nog miljoenen Windows 7 gebruikers zijn en dat het een groot probleem is. Dat aan een verouderd OS risico’s kleven lijkt duidelijk, maar wat is het grootste bezwaar precies?
Oude Windows versies
Vraagteken bij aantallen
Dat een AV vendor hiervoor aan de bel trekt is nog wel begrijpelijk. Van dat soort bedrijven mag men immers verwachten dat ze goed bijhouden welke platformen er nog actief zijn. Er is echter ook wel een vraagteken bij de juistheid van de aantallen te zetten. Om te beginnen kan het alleen maar gaan in systemen die zich als zodanig kenbaar maken op het internet. Een server waar Windows 7 of XP op draait die niet aan het internet hangt en alleen maar wordt ingezet om een geïsoleerd proces aan te sturen kan nooit worden gesignaleerd.
Is het erg?
Dus wie weet is het aantal actieve installaties nog veel hoger dan het aangegeven aantal. Tegelijk is daarmee ook de voorzet gegeven voor het antwoord op een belangrijke vraag: s het echt zo erg dat er nog zoveel machines met een oud OS actief zijn?
Het antwoord op die vraag luidt niet “ja” of “nee”. Het enige juiste antwoord is ‘dat hangt af van waar die machine zich bevindt en wat er mee gedaan wordt.” Voor alle machines die online, als in aangesloten op het internet, zijn is het een uitgemaakte zaak. Windows 7 en ouder is in dat geval een security probleem.
Ander probleem – de AVG
Maar dat is niet het enige probleem. Er is namelijk nog een categorie problemen. Software die niet meer onderhouden kan worden maakt het lastig onmogelijk om aan de eisen van de AVG te voldoen. Dat staat ook in het persbericht. Het is goed dat daar op gewezen wordt. In Nederland zien we die link tussen OS, software en de AVG weinig gelegd worden, hoewel dat al snel een groot probleem zichtbaar maakt.
Dat is wel de moeite van het onthouden waard. Een exotisch oud OS, zoals WIndows 7, kan heel praktisch zijn. Tegelijk is het default onverenigbaar met de AVG, een serieus en potentieel duur probleem dus.
Concreet gaat het om artikel 32. “Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. (link)”