ナレーター：このレッスンでは､
レガシー・システムについてお話しします｡
レガシーシステムとは何か？
まあ､ レガシーシステムというのは古いものだと考えたいね｡
もはやベンダーのサポートが終了し､ セキュリティアップデートやパッチが提供されなくなったコンピューターシステムだ｡
例えば､ 製造工場で働いている場合､
操業に不可欠なシステムがあるかもしれないが､
それは20年､ 30年前のもので､ それを作った人はもう事業をしていない｡
セキュリティ・アップデートやパッチはもう手に入らないが､
まだ動く｡
で､ どうする？
パッチを当てるのではなく､
システムを独自のネットワークに隔離するなどして､
システムが稼働し続け､ ビジネスが継続できるようにするのだ｡
レガシーシステムを扱うということは､
サポートが終了した古いシステムを扱うということだ｡
そのいい例が､ ICSやSCADAのネットワークに目を向けると､
そのほとんどがまだ稼働している時代遅れのものだ｡
たとえば､ 彼らの多くはまだウィンドウズXPで動いている｡
これを撮影している今､ 私はすでに2020年代に入っているが､
2001年に登場したウィンドウズXPはいまだに語り継がれている｡
なぜですか？
ウィンドウズXPは現在も使用されているため､
寿命が尽きても､ サービスが終了しても､
人々はレガシー・システムで使用している｡
その理由は､ それらのネットワークからそれを取り出すには高すぎるか､
難しすぎるからだ｡
その代わりに､ セキュリティ・アナリストとして､ これらのレガシー・システムを特定し､
運用を続けられるように緩和策を講じなければならない｡
例えば､ これらのシステムがインターネットに接続されないようにするといったことだ｡
その代わり､ セキュリティの層を厚くしたい｡
ファイアウォールを設置したい｡
レガシーシステムのリスクを最小化するために､
セグメンテーションやその他のものを用意したい｡
その一方で､ サポートが十分でないことが多い､
プロプライエタリなシステムもある｡
プロプライエタリ・システムとは､ 開発者やベンダーが所有するシステムのことで､
ベンダーのサポートが受けられないことが､ 改善の妨げになる可能性がある｡
さて､ これはどういう意味だろう？
私のビジネスには､ いくつかの独自システムがある｡
開発者にコーディングしてもらった特定のソフトウェアだ｡
今はサードパーティーの会社なので､
アップデートやセキュリティーが必要な場合は､
また契約してサポートしてもらわなければならない｡
これはプロプライエタリー・システムの単純な一例だが､
実際にはもっと大きなものもある｡
例えば､ アメリカの国防総省を見ると､ 独自のシステムがたくさんあり､
誰でもF16やエイブラムス戦車を買えるわけではない｡
だから､ マイクロソフト社に行って『エイブラムス戦車用のパッチをくれ』とは言えない｡
その代わり､
元のベンダーに戻らなければならない｡ そのベンダーとの契約によっては､ 毎月アップデートを受けるかもしれないし､
半年ごとにアップデートを受けるかもしれないし､ 1年ごとにアップデートを受けるかもしれないし､
必要に応じてアップデートを受けるかもしれない｡
というのも､ 6カ月サイクルで運用していて､
今日脆弱性を発見した場合､ パッチを作成し送信するまでに6カ月かかるかもしれないからだ｡
つまり､ プロプライエタリー・システムを扱う際には､ このような問題を考えなければならないのだ｡