Waarom het verstandig is om bij het moderniseren van jouw legacy applicaties te starten met een audit

In een wereld waarin alle technologie zich razendsnel ontwikkelt, worden organisaties gedwongen hun verouderde legacy omgeving te moderniseren. Ze moeten deze uitdaging aangaan, omdat de huidige systemen vaak niet meer voldoen aan de eisen van deze tijd. Dat kan te maken hebben met techniek, maar kan soms ook samenhangen met nieuwe IT-gerelateerde wet- en regelgeving. Maar daarnaast zijn nieuwe systemen vaak ook noodzakelijk om concurrerend te blijven opereren. Organisaties die digitaal willen transformeren weten soms niet goed waar ze moeten starten. Een audit voor legacy applicaties is altijd een goed vertrekpunt en hoe je dat aanpakt lees je in dit blogartikel.  

Legacy applicaties worden vaak al heel lang binnen organisaties gebruikt. Vaak gaat het om bedrijfskritische applicaties die een essentiële rol spelen bij de continuïteit en de groei van een organisatie. In veel gevallen gaat het om maatwerkapplicaties, die precies zijn afgestemd op specifieke kerntaken die binnen een organisatie moeten worden uitgevoerd. Alhoewel deze software vaak nog uitstekend functioneert, kan het op de lange termijn een belemmering vormen voor de organisatie. Vaak zijn deze applicaties niet compatibel met moderne (cloud)technologie, zijn storingsgevoelig en duur in onderhoud en tegelijkertijd bestaat er een veiligheidsrisico door de aanwezigheid van verouderde code en het ontbreken van adequate cybersecurity.  

Met bovenstaande uitdagingen in het achterhoofd is het dus slim om te kiezen voor het moderniseren van een legacy omgeving, zodat jouw organisatie helemaal is voorbereid op de toekomst en slagvaardig kan opereren. Om het gehele proces van moderniseren en migreren naar een nieuwe omgeving tot een succes te maken, is het verstandig om te starten met een audit om zo eerst de zwakke en sterke punten van de huidige omgeving in kaart te brengen. Op basis van deze uitkomsten maakt een audit duidelijk aan welke eisen de nieuwe omgeving moet voldoen. Een auditproces omvat negen stappen en als je deze chronologisch doorloopt, creëer je een goede basis van waaruit jouw organisatie het proces van moderniseren en migreren van legacy applicaties tot een succes kan maken. Als je geen audit uitvoert, weet je niet precies wat de zwakke plekken in de bestaande omgeving zijn en wat je in de nieuwe omgeving moet verbeteren. Alle reden dus om aan de slag te gaan en alle stappen in het auditproces zorgvuldig uit te voeren.   

1. Inventarisatie legacy systemen  

De eerste stap in het proces is het inventariseren van de bestaande omgeving. Het gaat daarbij niet alleen om software en hardware, maar ook om een overzicht van alle gebruikte besturingssystemen, databases, middleware en koppelingen met andere (externe) systemen. Voor welke systemen is documentatie aanwezig en welke informatie is alleen bekend bij IT-medewerkers? Zo ontstaat een totaalbeeld van de huidige omgeving. Er bestaan geautomatiseerde tools die helpen bij het inventariseren. Bij een volledige handmatige check bestaat de kans dat bepaalde onderdelen over het hoofd worden gezien.  

Voor een volledig beeld is het ook zinvol om gesprekken te voeren met medewerkers op de werkvloer en te vragen welke tools ze gebruiken. Het is heel goed mogelijk dat op deze manier het gebruik van shadow-IT aan het licht komt. Denk in dit verband aan het gebruik van losse usb-sticks en populaire clouddiensten zoals Dropbox en WeTransfer. Het gebruik van shadow-IT leidt tot aanzienlijke veiligheidsrisico’s binnen organisaties. Een gemoderniseerde IT-omgeving moet het personeel volledig faciliteren bij het uitvoeren van de werkzaamheden, zodat het gebruik van shadow-IT niet langer noodzakelijk is.  

2. Prestatieanalyse technische architectuur 

De tweede stap bestaat uit het checken of de huidige infrastructuur in staat is om alle essentiële taken naar behoren uit te voeren. Hierbij wordt gekeken naar snelheid, efficiëntie, gebruiksvriendelijkheid, schaalbaarheid en de mogelijkheid om koppelingen met andere (nieuwe) systemen tot stand te brengen. Hierbij wordt ook gekeken naar toekomstige ontwikkelingen: is de huidige omgeving ook straks nog in staat om alle processen in de organisatie uit te voeren.  

3. Gebruikerservaringen verzamelen 

Ook het personeel dat werkt met de bestaande omgeving moeten we in het auditproces gaan betrekken. Wat vinden ze van de huidige omgeving? Met welke beperkingen hebben ze te maken? In hoeverre is de huidige omgeving gebruiksvriendelijk? Welke verbeterpunten willen ze graag doorgevoerd zien in de nieuwe omgeving? Daarnaast moeten we ook praten met het management en andere betrokkenen binnen de organisatie die direct of indirect met de huidige omgeving werken. Welke data is nodig voor het maken van (periodieke) rapportages? Om de juiste feedback te krijgen, kan een organisatie ook overwegen om werkgroepen in het leven te roepen. Door het personeel in dit stadium al hierin te betrekken, is de kans aanzienlijk groter dat de nieuwe omgeving later gemakkelijker wordt geaccepteerd.  

4. Beveiligingsniveau vaststellen  

Beveiliging is vrijwel altijd een uitdaging bij legacy systemen. Vanwege ouderdom van de code ontbreken mogelijkheden om adequate beveiligingsfuncties en patches te installeren. Het gevolg is een omgeving die kwetsbaar is voor aanvallen van binnenuit en buitenaf. Bij het beoordelen van het beveiligingsniveau kijken we naar de architectuur, toegepaste code, encryptiemogelijkheden en op welke manier toegang heeft tot applicaties en data.  

Ook moet worden gekeken naar de back-ups: hoe worden deze opgeslagen en zijn ze voldoende afgeschermd van de huidige omgeving? Cybercriminelen die ransomware integreren in een netwerk beginnen doorgaans met het versleutelen van de back-ups. Om kwetsbaarheden in de huidige omgeving te ontdekken, kunnen ook penetratietesten worden uitgevoerd. In dit geval probeert een ethische hacker op verschillende manieren toegang te krijgen tot systemen, databases en back-ups. Dit is een uitstekende manier om kwetsbaarheden in de huidige omgeving in kaart te brengen.  

5. Risico’s inventariseren 

Een ander belangrijk onderdeel in het auditproces is het inventariseren van huidige en toekomstige risico’s. Wat zijn de gevolgen voor de voortgang van de organisatie in de toekomst als de huidige infrastructuur ongewijzigd blijft? Het is aannemelijk dat de organisatie vroeg of laat te maken krijgt met problemen die de continuïteit van vitale bedrijfsfuncties in gevaar brengt. Bekende risico’s die samenhangen met een legacy omgeving zijn beperkte mogelijkheden om te schalen, de afwezigheid van een adequate cyberbeveiliging en beperkte mogelijkheden om integraties met andere systemen te realiseren. Maar laten we ook niet vergeten dat IT-personeel met diepgaande kennis van de legacy systemen de organisatie kan verlaten vanwege het bereiken van de pensioengerechtigde leeftijd of het vinden van een nieuwe baan bij een andere werkgever.  

6. Compliance en regelgeving 

Organisaties hebben vandaag de dag te maken met veel ICT-gerelateerde wet- en regelgeving. De centrale vraag is of de huidige infrastructuur in staat is om hieraan nu en in de toekomst te voldoen? Vrijwel elke organisatie verzamelt persoonlijke gegevens van klanten en in het kader van de Europese privacywet AVG (Algemene Verordening Gegevensbescherming) moet hierbij wet- en regelgeving in acht worden genomen. Persoonsgegevens moeten bijvoorbeeld veilig in IT-systemen worden bewaard, zodat ze niet gemakkelijk te bekijken of te verspreiden zijn. Dat stelt eisen aan de mate van cyberbeveiliging. Biedt de huidige omgeving nu en straks voldoende mogelijkheden om deze beveiliging op een adequate manier in te regelen?  

Voor een goede en betrouwbare bedrijfsvoering willen organisaties certificeringen behalen. Enkele voorbeelden in dit verband zijn ISO 9001 (kwaliteitsmanagement) en ISO 27001 (beveiliging van bedrijfsinformatie). Zijn de huidige legacy systemen in staat om aan de eisen van de certificering te voldoen? Met name de certificeringen op het gebied van informatiebeveiliging stellen hoge eisen aan een IT-infrastructuur. De kans dat een verouderde omgeving hieraan kan voldoen is over het algemeen zeer klein.  

7. Kosten berekenen 

Een ander belangrijk onderdeel in het auditproces is het berekenen van alle kosten die samenhangen met de legacy omgeving. Dat is de Total Cost of Ownership (TCO) en dan gaat het om kosten voor IT-personeel, onderhoud, infrastructuur en energie. Met name verouderde hardware vraagt veel energie en dat vertaalt zich in een hoge stroomrekening. Een verouderde omgeving is storingsgevoelig en vraagt veel onderhoud. Dat zorgt ook weer voor meer loonkosten. Laten we ook de kosten die samenhangen met uitval niet vergeten. Op het moment dat een productieproces als gevolg van defecte legacy systemen stilstaat, kost dat ook enorm veel geld. Het maken van koppelingen vanuit een legacy omgeving met moderne systemen is in de praktijk vrij lastig. Als dit wel mogelijk is, kost het realiseren ervan behoorlijk wat tijd en geld. Dat geldt ook voor het maken en terugzetten van back-ups, wat bij oudere systemen een behoorlijk arbeidsintensieve klus is.  

Als je bij digitale transformatie kiest voor de toepassing van moderne cloudtechnologieën zul je een groot aantal voordelen ervaren. Maak je gebruik van de diensten van een cloudaanbieder, dan hoef je zelf ook geen hardware aan te schaffen. De aanschaf en het beheer van de hardware is de verantwoordelijkheid van de cloudaanbieder. Daarmee bespaar je kosten en dat maakt weer budgetten vrij voor andere projecten. Cloudoplossingen zijn over het algemeen gemakkelijk in gebruik: of het nu gaat om het maken en terugzetten van back-ups of het maken van integraties met andere systemen is doorgaans een stuk gemakkelijker. 

Natuurlijk moet er in dit stadium ook worden nagedacht over de kosten die samenhangen met het moderniseren en migreren van de legacy applicaties naar een modern (cloud)platform. De uiteindelijke kosten van dit proces zijn in dit stadium nog niet bekend, maar het is wel goed om een eerste schatting hiervan te maken. Dat lukt in de praktijk vaak redelijk goed als je gebruik maakt van de diensten van cloudaanbieders, die veelal werken met een abonnementsmodel dat is gebaseerd op verbruik. Dat maakt het inschatten van kosten op basis van huidig en toekomstig gebruik van cloudresources heel erg goed mogelijk.  

8. Rapportage bevindingen 

Belangrijk is om alle bovenstaande bevindingen in een rapport te beschrijven. Zo ontstaat een duidelijk overzicht met alle zwakke en sterke punten van de huidige omgeving en weet de organisatie met welke onderdelen ze aan de slag moeten gaan. Besteed ook aandacht aan de kosten en opbrengsten die samenhangen met de digitale transformatie. Natuurlijk heb je te maken met uitgaven rondom het transformatieproces, maar daar staat tegenover dat in de toekomst door efficiëntere processen en kostenbesparingen aanzienlijk betere bedrijfsresultaten behaald kunnen worden. In de rapportage moet ook een blik op de toekomst worden gericht: met welke ontwikkelingen op het gebied van wet- en regelgeving en techniek moeten we rekening houden?  

9. Presentatie aan stakeholders 

De laatste stap in het auditproces is het presenteren van de bevindingen aan alle stakeholders binnen de organisatie. Het management speelt hierin een belangrijke rol. Het is de taak van de samenstellers van het rapport om vooral ook het management te informeren. Zij zijn per slot van rekening de verantwoordelijkheden die budget, mensen en tijd kunnen vrijmaken om het transformatieproces te laten slagen. Naast het management moet uiteindelijk iedereen in de organisatie van de noodzaak van de digitale transformatie worden overtuigd. In de presentatie moet ook aandacht worden gegeven aan het tijdpad waarbinnen het transformatieproces gaat plaatsvinden en met welke onderdelen van de legacy omgeving wordt begonnen. 

Laat je niet verrassen door je legacy – schakel een expert in

Denk je dat je na het lezen van dit stappenplan dat jouw organisatie hulp nodig heeft bij het uitvoeren van een audit op legacy applicaties? Neem dan een externe expert in handen die dit werk voor jou overneemt. Het is raadzaam te kiezen voor een externe partij om dat deze met een zekere afstand kijkt en objectief kan zijn ten opzichte van jouw legacy omgeving. Zo’n expert kun je vinden bij NetRom Software, een IT-dienstverlener die vanaf 1999 actief is als nearshore partner en ruime ervaring heeft opgedaan met het moderniseren en migreren van legacy omgevingen.