« Ne touchez pas à ça » : Pourquoi la dette legacy est l’un des plus grands risques dans votre salle serveur

La phrase la plus dangereuse dans une salle serveur est souvent : « Ne touchez pas à ça. »

Elle est généralement prononcée à moitié en plaisantant, à moitié avec une grimace. Elle désigne cette vieille machine qui fonctionne encore, qui fait tourner quelque chose de critique, et qui a survécu à tellement de correctifs et de bricolages que plus personne n’ose vraiment y toucher.

Chez AWSMTECH (Switzerland) LTD, nous entendons cette phrase en permanence auprès des petites et moyennes entreprises de Genève. Et elle pointe presque toujours vers le même problème sous-jacent : la dette legacy.

La dette legacy, ce n’est pas simplement de la vieille technologie. C’est de la vieille technologie qui est devenue une dépendance silencieuse. Le type de dette qui accumule du risque discrètement, jusqu’au jour où cela se transforme soudainement en panne, incident de sécurité ou mise à niveau d’urgence au pire moment possible.

Un audit de dette legacy est le moyen le plus rapide de remettre cette exposition cachée en lumière.

À quoi ressemble réellement la dette legacy

La dette legacy, ce n’est pas juste du « vieux matériel ». C’est du vieux matériel devenu normal.

C’est le serveur qui fait tourner une application métier critique, l’équipement réseau dont plus personne ne se souvient l’origine, ou encore le correctif temporaire devenu dépendance permanente. Avec le temps, cette dette s’accumule discrètement dans de nombreuses infrastructures basées à Genève.

Comme l’explique Infinite Lambda, la dette legacy « arrive même aux meilleurs systèmes », accumulant silencieusement coûts et contraintes jusqu’à devenir trop chère, ou trop risquée, pour être ignorée.

C’est pourquoi un audit de dette legacy n’a rien de théorique. Chez AWSMTECH (Switzerland) LTD, nous le considérons comme un exercice de visibilité : identifier les risques les plus anciens et les plus critiques qui devraient encore être activement gérés, mais qui ne le sont souvent plus.

Le problème de sécurité apparaît généralement lorsque « ancien » devient « impossible à mettre à jour ».

Les recommandations du NCSC britannique sont très claires : lorsqu’une technologie est obsolète, elle ne devrait idéalement plus être utilisée, et la seule mitigation réellement efficace consiste à arrêter de l’utiliser. Si un système ne peut plus être mis à jour, ses faiblesses ne disparaissent pas avec le temps. Elles attendent simplement le mauvais jour.

La dette legacy devient également visible lorsque l’hygiène serveur de base commence à se dégrader.

Le standard NIST SP 800-123 décrit l’exploitation sécurisée des serveurs comme une discipline continue incluant les mises à jour régulières, la surveillance des logs, les sauvegardes et la suppression des services inutiles. Lorsque ces fondamentaux deviennent irréguliers, la dette legacy cesse d’être seulement un problème de sécurité et devient aussi un problème de fiabilité et de gestion d’incident.

Enfin, la dette legacy se cache souvent à la périphérie du réseau. Les équipements exposés à Internet et arrivés en fin de support représentent un risque disproportionné dans la partie la plus exposée de votre environnement.

Les 3 plus vieux risques à identifier en priorité

Dans la majorité des audits de dette legacy que nous réalisons pour des organisations basées à Genève, 3 catégories reviennent systématiquement comme les plus risquées. Elles combinent ancienneté et impact : elles se trouvent à l’entrée de l’infrastructure, ne peuvent plus être corrigées, ou se sont éloignées progressivement d’une configuration saine.

Risque n°1 : Les équipements réseau en fin de support

Si vous voulez identifier rapidement les risques les plus critiques, commencez par la périphérie réseau.

Les firewalls, VPN, routeurs et autres équipements exposés à Internet sont la porte d’entrée de votre environnement. Une fois arrivés en End-of-Support (EOS), les mises à jour de sécurité s’arrêtent et leur protection devient de plus en plus difficile.

Ce qu’il faut vérifier lors de votre audit :

• Lister tous les équipements réseau : firewalls, VPN, routeurs, et vérifier leur statut de support.
• Identifier quels équipements sont exposés à Internet et quels services sont publiquement accessibles.
• Repérer les équipements qui ne peuvent plus recevoir les firmwares actuels ou les mises à jour de sécurité.

Pour les PME genevoises, les équipements réseau non supportés représentent souvent le risque technique ayant le plus fort impact potentiel.

Risque n°2 : Les systèmes obsolètes qui ne peuvent plus être corrigés

Les systèmes obsolètes représentent la forme la plus pure de dette legacy.

Ils fonctionnent encore, mais ne reçoivent plus de correctifs de sécurité. Cela signifie que chaque nouvelle vulnérabilité découverte devient permanente. Aucun contournement ne rend réellement un logiciel non supporté sécurisé. Il ne s’agit que d’une réduction temporaire du risque jusqu’au remplacement.

Ce qu’il faut vérifier lors de votre audit :

• Identifier tous les systèmes hors support : systèmes d’exploitation serveurs, appliances, hyperviseurs et applications critiques.
• Repérer les systèmes nécessitant des exceptions de sécurité : anciens protocoles, authentification faible ou règles firewall spécifiques.
• Identifier les systèmes « critiques pour le business mais non supportés ».

Chez AWSMTECH (Switzerland) LTD, c’est souvent dans cette catégorie que commencent les décisions les plus difficiles, mais aussi les plus nécessaires.

Risque n°3 : Les serveurs « qui fonctionnent encore » mais dont les fondamentaux sont négligés

C’est le risque le plus trompeur, car tout semble fonctionner normalement.

Le serveur est officiellement supporté. Le matériel fonctionne. Personne ne se plaint. Pourtant, avec le temps, les fondamentaux dérivent : les mises à jour deviennent irrégulières, des services inutiles restent actifs, et les sauvegardes n’ont plus été testées correctement.

Le NIST SP 800-123 rappelle que la sécurité des serveurs repose sur des pratiques essentielles mais peu visibles : mises à jour, surveillance des logs, contrôle des services et validation des sauvegardes. Ce sont ces fondamentaux qui empêchent les petits problèmes de devenir de longues interruptions.

Ce qu’il faut vérifier lors de votre audit :

• Réalité des mises à jour : niveau de patch actuel et fréquence des retards.
• Prolifération des services : services actifs qui ne sont plus nécessaires.
• Comptes administrateurs et services : identifiants partagés et permissions excessives.
• Confiance dans les sauvegardes : date et résultat du dernier test de restauration.
• Gestion des changements : qui peut modifier quoi et comment ces actions sont tracées.

Pour les PME de Suisse romande, cette catégorie représente souvent une fragilité opérationnelle cachée plutôt qu’une faille de sécurité évidente.

Arrêtez de porter un risque silencieux

La dette legacy ne s’annonce jamais bruyamment. Elle reste discrètement en arrière-plan, jusqu’au jour où elle devient une panne, une exposition de sécurité ou une migration d’urgence non planifiée.

Un audit de dette legacy permet de reprendre le contrôle. Il transforme le « il faudrait qu’on s’en occupe un jour » en une liste claire et priorisée d’actions concrètes.

Commencez par les risques ayant le plus fort impact :

• Les équipements réseau en fin de support.
• Les systèmes obsolètes et impossibles à corriger.
• Les serveurs dont les fondamentaux ont dérivé avec le temps.

Ensuite, attribuez des responsables, définissez des délais et faites passer chaque élément de « trop risqué pour y toucher » à « traité».

Chez AWSMTECH (Switzerland) LTD, nous accompagnons les petites et moyennes organisations de Genève et Suisse romande dans des audits pragmatiques et orientés risque, qui débouchent sur des actions concrètes.

Contactez-nous pour obtenir de l’aide sur votre prochain audit de dette legacy.