Váš systém beží na PHP bez podpory. Vyriešime to.

Štyri riziká, ktoré zastaraný systém prináša vašej firme

PHP verzie po konci životnosti (EOL)

PHP 5.6, 7.x aj 8.0 a 8.1 už nedostávajú žiadne bezpečnostné opravy. Každá novoobjavená zraniteľnosť v týchto verziách zostáva vo vašom systéme natrvalo. Prevádzkujete softvér, ktorého chyby už nikto neopraví.

Neopravené bezpečnostné diery

Staršie frameworky, knižnice a vlastný kód obsahujú známe zraniteľnosti – SQL injection, XSS, zastarané šifrovanie, deravú autentifikáciu. Útočníci ich vyhľadávajú automatizovane a nerozlišujú, či ste malá firma alebo korporát. Otázka nie je či, ale kedy.

Pokuty podľa NIS2 a kybernetického zákona

Zákon č. 366/2024 Z. z. preniesol smernicu NIS2 do slovenského práva a výrazne rozšíril okruh povinných subjektov. Sankcie dosahujú milióny eur alebo percentá z celosvetového obratu a za nedostatky zodpovedá aj štatutárny orgán osobne. Zastaraný, nezdokumentovaný systém audit neobstojí.

Závislosť od jedného človeka alebo dodávateľa

Systém písal programátor, ktorý odišiel, alebo firma, ktorá už neexistuje. Nikto nevie, ako kód funguje, chýba dokumentácia aj prístupy. Každý výpadok znamená improvizáciu – a každý deň bez riešenia zvyšuje cenu, ktorú raz zaplatíte.

Termíny neurčujete vy. Určuje ich kalendár.

Podpora PHP verzií končí podľa pevného harmonogramu a nedá sa predĺžiť. Ak váš systém beží na verzii po konci podpory, každý deň prevádzky je nekrytým rizikom – technickým aj právnym.

Čo hrozí firmám podľa NIS2 a zákona o kybernetickej bezpečnosti:

• Pokuty do 10 000 000 € alebo 2 % celosvetového ročného obratu (podľa toho, čo je vyššie) pre prevádzkovateľov základnej služby; pre ďalšie povinné subjekty do 7 000 000 € alebo 1,4 % obratu.
• Osobná zodpovednosť vedenia firmy – za zanedbanie kybernetickej bezpečnosti zodpovedá štatutárny orgán, nielen IT oddelenie.
• Povinné audity, bezpečnostná dokumentácia a hlásenie incidentov – nezvládnutý audit alebo nenahlásený incident je samostatným správnym deliktom s vlastnou sankciou.

Ako riziko odstraňujeme

Bezpečnostný a technický audit

Vstupný bod každej spolupráce a najrýchlejší spôsob, ako zistiť skutočný stav vášho systému. Preveríme kód, infraštruktúru, závislosti, prístupové práva a súlad s požiadavkami NIS2. Audit má fixný rozsah a fixný termín – dopredu viete, čo dostanete a kedy. Výstup je použiteľný aj ako podklad pre vedenie firmy či externý audit.

Dostanete:

• Report s konkrétnymi nálezmi zoradenými podľa závažnosti a biznis dopadu
• Zoznam zraniteľností a EOL komponentov vo vašom systéme
• Odporúčaný plán nápravy s odhadom prácnosti jednotlivých krokov

Refaktoring legacy kódu

Systém, ktorý funguje, netreba zahodiť – treba ho dostať pod kontrolu. Refaktoring legacy systému robíme postupne, po častiach a vždy s otestovaním, aby prevádzka bežala bez prerušenia. Kód priebežne dokumentujeme, takže prestávate byť závislí od pamäti jedného človeka. Výsledkom je systém, ktorý dokáže prevziať a rozvíjať ktorýkoľvek kvalifikovaný tím.

Dostanete:

• Postupne refaktorovaný kód s automatizovanými testami kritických častí
• Technickú dokumentáciu architektúry a kľúčových procesov
• Verzovanie a nasadzovanie pod kontrolou (Git, CI/CD)

Migrácia na PHP 8.x

Migrácia PHP 8 nie je len zmena čísla verzie – vyžaduje analýzu nekompatibilít, aktualizáciu závislostí a dôkladné testovanie. Máme to zvládnuté ako opakovateľný proces: od analýzy cez prípravu paralelného prostredia až po riadené prepnutie produkcie. Systém po migrácii beží na podporovanej verzii, dostáva bezpečnostné opravy a spravidla aj výrazne rýchlejšie.

Dostanete:

• Systém na aktuálne podporovanej verzii PHP 8.x vrátane aktualizovaných knižníc
• Testovacie prostredie a migračný plán s minimálnym oknom prepnutia
• Dokumentáciu zmien a odporúčania pre ďalšie udržiavanie

Súlad a dokumentácia (NIS2 / GDPR)

Technicky zabezpečený systém nestačí – pri kontrole musíte súlad preukázať. Pripravíme bezpečnostnú dokumentáciu, ktorú vyžaduje zákon o kybernetickej bezpečnosti, a nastavíme procesy hlásenia incidentov a riadenia prístupov. Dokumentácia zodpovedá reálnemu stavu systému, nie šablóne – práve rozpor medzi papierom a realitou je najčastejší nález auditu.

Dostanete:

• Bezpečnostnú dokumentáciu v súlade s požiadavkami NIS2 a kybernetického zákona
• Nastavené procesy riadenia prístupov, záloh a hlásenia incidentov
• Podklady preukazujúce súlad pre interný aj externý audit

Ako spolupráca prebieha

1. Audit

Preveríme kód, infraštruktúru a bezpečnostné procesy vášho systému. Fixný rozsah, fixný termín, minimálne nároky na váš čas.

2. Report s prioritami

Dostanete zrozumiteľný report: čo je kritické, čo počká a aký je biznis dopad každého nálezu. Žiadny stostranový dokument do šuplíka.

3. Roadmapa

Spoločne zostavíme plán modernizácie rozdelený na etapy s jasnými výstupmi. Vy rozhodujete o tempe a rozpočte, my garantujeme technické poradie krokov.

4. Postupná realizácia bez odstávky

Zmeny nasadzujeme po častiach, vždy otestované, na živom produkčnom systéme. Vaša prevádzka, e-shop ani interné procesy sa nezastavia.

Prečo firmy zveria kritické systémy práve nám

Referencie top slovenských firiem

Pracujeme pre veľké slovenské spoločnosti, kde výpadok systému znamená priame finančné straty. Referencie radi predložíme na osobnom stretnutí.

Práca na živých produkčných systémoch

Špecializujeme sa na zásahy do systémov, ktoré nemôžu prestať bežať. Postupné nasadzovanie a testovanie bez odstávky produkcie je náš štandard, nie nadštandard.

Preberáme projekty po iných dodávateľoch

Nebojíme sa cudzieho kódu bez dokumentácie. Prevzatie systému po zaniknutom dodávateľovi alebo odídenom programátorovi je pre nás bežná situácia s overeným postupom.

Fixný rozsah auditu

Bezpečnostný a technický audit má vopred definovaný rozsah, výstupy aj termín. Presne viete, do čoho idete – bez otvorených hodinoviek na neurčito.

Časté otázky

Musíme prepisovať celý systém od nuly?

Nie. Prepis od nuly je vo väčšine prípadov najdrahšia a najrizikovejšia cesta – stráca sa know-how zapracované v kóde roky. Preferujeme postupný refaktoring: systém modernizujeme po častiach, za plnej prevádzky, s prioritou na bezpečnostne kritické miesta. Kompletný prepis odporúčame len vtedy, keď to audit jednoznačne preukáže ako výhodnejšie.

Koľko trvá audit?

Bezpečnostný a technický audit má fixný rozsah a štandardne trvá niekoľko dní v závislosti od veľkosti systému – presný termín potvrdíme po úvodnej konzultácii. Z vašej strany vyžaduje minimum času: prístupy, jedno-dve stretnutia a osobu, ktorá zodpovie otázky k prevádzke. Výstupom je report s prioritami, ktorý viete okamžite použiť na rozhodovanie.

Uvidí náš kód niekto tretí?

Nie. Pred začiatkom auditu podpisujeme NDA a všetky práce vykonávajú výhradne naši zamestnanci, nie subdodávatelia. Prístup ku kódu a dátam obmedzujeme na nevyhnutné minimum a vieme pracovať aj vo vašom prostredí bez toho, aby kód opustil vašu infraštruktúru.

Čo ak systém písala firma, ktorá už neexistuje?

Presne pre tieto situácie máme overený postup prevzatia. Zrekonštruujeme fungovanie systému z kódu, databázy a prevádzky, zdokumentujeme ho a zabezpečíme prístupy a zálohy. Nepotrebujeme pôvodného autora – potrebujeme prístup k systému. Po prevzatí prestávate byť rukojemníkom minulosti.

Vzťahuje sa na nás NIS2, ak sme „len" bežná firma?

Okruh povinných subjektov sa zákonom č. 366/2024 Z. z. výrazne rozšíril a zasahuje aj stredné firmy v energetike, doprave, výrobe, digitálnych službách či potravinárstve, ako aj ich dodávateľov. Aj ak pod zákon nespadáte priamo, súlad od vás čoraz častejšie vyžadujú vaši veľkí odberatelia v zmluvách. Odporúčame to nechať posúdiť – je to súčasť nášho auditu.

Nezastaví modernizácia našu prevádzku?

Nie, práve tomu je celý náš proces podriadený. Zmeny pripravujeme a testujeme v oddelenom prostredí a do produkcie ich nasadzujeme po malých, vratných krokoch. Prepnutia plánujeme mimo prevádzkových špičiek a vždy s pripraveným návratom k predchádzajúcemu stavu.

Zistite, v akom stave je váš systém. Teraz, nie po incidente.

Bezpečnostný a technický audit vám za fixný rozsah povie, kde presne ste zraniteľní a čo riešiť ako prvé. Rozhodovať sa potom budete na základe faktov, nie odhadov.

Kontaktujte nás