När det gamla systemet blir er största säkerhetsrisk

Säkerhet är inte ett hinder för innovation. Det är en förutsättning. Men för många organisationer ser ekvationen baklänges ut: man investerar i brandväggar, identitetshantering och avancerade säkerhetsverktyg – och låter samtidigt det system som faktiskt kör verksamheten stå kvar oskyddat, eftersom det "alltid har funkat" och ingen vill röra det.

Problemet är att det inte spelar någon roll hur stark er ytterperimeter är om kärnan i er IT-miljö är byggd på teknik som slutat få säkerhetsuppdateringar för länge sedan.

Precio Fishbone
Publicerad: 19 okt. 2026

Patchar som aldrig kommer

När ett system blir "legacy" i ordets verkliga bemärkelse slutar leverantören att släppa säkerhetsuppdateringar för det. Det betyder inte att sårbarheterna försvinner – det betyder att de aldrig åtgärdas. Nya sårbarheter fortsätter att upptäckas i föråldrad mjukvara, år efter att supporten upphört, och de förblir öppna permanent (Atiba).

Det här är inte ett teoretiskt scenario. CISA:s katalog över aktivt utnyttjade sårbarheter visar att 46 % av aktivt exploaterade sårbarheter härstammar från före 2021 – gamla, opatchade system är fortfarande pålitliga måltavlor för angripare (Mondoo, 2026 State of Vulnerabilities). Och de system som faktiskt blir attackerade ligger i genomsnitt 4,4 år bortom sitt end-of-life-datum.

Tidsfönstret för att hinna agera har nästan stängts

Den som tänker "vi patchar när vi hinner" bygger på ett antagande som inte längre stämmer. Enligt Verizons Data Breach Investigations Report 2025 har medianen för hur snabbt en sårbarhet utnyttjas sjunkit till under fem dagar efter att den blir känd (Security Boulevard). I vissa fall är fönstret ännu kortare: nästan 29 % av kända exploaterade sårbarheter 2025 vapeniserades samma dag som CVE:n publicerades – innan organisationer ens hunnit reagera (Atiba).

Samtidigt tar det organisationer betydligt längre tid att faktiskt patcha. Verizons rapport visar en median-patchtid på 32 dagar – sex gånger för långsamt jämfört med hur snabbt sårbarheter idag utnyttjas (Mondoo).

Den matematiken går inte ihop. Och för legacy-system, där en patch ofta kräver omfattande testning eller i värsta fall inte finns alls, är gapet ännu större.

De flesta intrång börjar med något ni redan visste om

Det är lätt att föreställa sig dataintrång som sofistikerade, oförutsedda attacker. Verkligheten är mindre dramatisk och mer obekväm: omkring 60 % av dataintrång involverar en känd sårbarhet där en patch redan fanns tillgänglig (Verizon DBIR, via PDQ). Ponemon Institute har funnit samma mönster från andra hållet – 60 % av offer för dataintrång pekar ut en opatchad sårbarhet som orsaken.

Det är alltså sällan det okända som kostar mest. Det är det redan kända som aldrig åtgärdades.

Notan när det går fel

IBM:s senaste forskning sätter snittkostnaden för ett dataintrång till 4,88 miljoner dollar (Atiba). Intrång som specifikt utnyttjade en sårbarhet kostade i snitt 4,24 miljoner dollar, enligt IBM:s Cost of a Data Breach Report (PDQ).

Det historiska exemplet som fortfarande används som varnande exempel i branschen är Equifax 2017 – ett intrång som berodde på att en känd sårbarhet i ramverket Apache Struts aldrig patchades. Resultatet: 147 miljoner människors personuppgifter exponerade och en uppgörelse på upp till 425 miljoner dollar (FTC, via PDQ). Åtta år senare är mönstret detsamma – bara snabbare.

Compliance-fönstret stängs också

Det räcker inte längre att hänvisa till att ett system är gammalt som ursäkt för bristande säkerhet. Regulatoriska krav har skärpts över hela linjen, och granskningar fokuserar i allt högre grad specifikt på risken i legacy-system. Försvarsleverantörer som inte klarar moderna säkerhetskrav riskerar att inte ens få lägga anbud på vissa kontrakt, och finansiella institutioner möter allt hårdare granskning av sin teknikrisk från tillsynsmyndigheter (Atiba).

Budskapet från regulatorerna är konsekvent: "det är ett legacy-system" är inte längre en giltig förklaring till säkerhetsbrister.

Tre frågor att ställa om er IT-miljö idag

  • Vilka system i vår miljö tar fortfarande emot säkerhetspatchar – och vilka gör det inte? Om ni inte vet, är det redan ett observandum.
  • Hur lång tid tar det för oss att faktiskt distribuera en kritisk patch – och hur ser det ut jämfört med branschens femdagarsfönster?
  • Om vårt äldsta affärskritiska system blev intrångets startpunkt imorgon, vet vi hur långt en angripare skulle kunna röra sig innan vi upptäcker det?

Säkerhet är ett systemval, inte bara ett verktygsval

Det är frestande att tänka att säkerhet handlar om att lägga till fler skyddslager – fler brandväggar, bättre övervakning, striktare åtkomstkontroll. Allt det hjälper. Men inget av det löser grundproblemet om kärnan i er IT-miljö är byggd på en teknisk grund som aldrig kan bli säker, oavsett hur mycket ni lägger ovanpå den.

Att modernisera ett system som bär på den här typen av risk är inte bara en IT-fråga. Det är en riskhanteringsfråga som hör hemma på styrelsens bord.

I nästa artikel i serien vänder vi blicken mot en annan konsekvens av teknisk skuld som blivit särskilt aktuell det senaste året: hur föråldrade system blockerar era AI-satsningar innan de ens kommit igång.

Källor

Meny