Sistemas legados no hotel: o que fazer com Windows e servidores sem suporte

Por que os hotéis acumulam sistemas legados

Em geral, não é descuido: o sistema antigo fica porque trocá-lo parece arriscado, caro ou depende de outra pessoa:

• O fornecedor só homologa uma versão antiga. PMS, POS, sistema de fechaduras, central telefônica ou automação predial que só é suportado em uma versão específica do Windows.
• O software também ficou para trás. O Windows pode estar atualizado e o PMS, o POS, o banco de dados (como um SQL Server antigo) ou o componente de integração continuar em uma versão sem suporte. Um sistema legado raramente é só um computador antigo: é uma pilha de aplicação, banco de dados, sistema operacional, hardware e integrações com outros sistemas, como POS e fechaduras. Trocar uma camada sem verificar as outras pode quebrar o resto ou só mudar o problema de lugar.
• Equipamentos com sistema embarcado. Quiosques, gravadores de CFTV, controladores, impressoras e sinalização digital rodam versões próprias de Windows ou Linux. Quando o fabricante deixa de publicar atualizações, o equipamento continua funcionando, mas sem correções.
• Ninguém tem o inventário. O servidor da contabilidade, o computador da manutenção que controla a caldeira, a máquina antiga que "só roda um programa".
• A troca nunca entra no orçamento. Enquanto funciona, a substituição parece um custo sem retorno.
• Quem instalou já saiu. Sem documentação, ninguém sabe se dá para atualizar sem quebrar alguma integração.

O que significa "fim de suporte"

Quando o fabricante encerra o suporte, o sistema continua funcionando, mas deixa de receber correções de segurança. As vulnerabilidades descobertas depois dessa data ficam sem a correção do fabricante, a menos que exista um programa pago de suporte estendido. Estas são as datas oficiais dos sistemas que ainda aparecem com frequência em hotéis:

O VMware merece atenção à parte. Em muitos hotéis, um ou dois servidores ESXi rodam todas as máquinas virtuais: PMS, POS, controlador de domínio, arquivos. Um host desatualizado expõe todas elas de uma vez, e há ransomware feito especificamente para criptografar servidores ESXi; em 2023, a campanha ESXiArgs comprometeu milhares de hosts desatualizados no mundo, segundo a CISA e o FBI. Com a mudança da VMware para licenças só por assinatura, uma licença perpétua sem contrato de suporte ativo perde o acesso às novas versões e à maioria das correções, o que costuma adiar a atualização do host.

Versões embarcadas do Windows, usadas em quiosques e terminais, seguem calendários próprios, e cada distribuição Linux tem o seu. O hardware também tem prazo: switches, firewalls, access points e servidores deixam de receber atualizações de firmware quando o fabricante declara o fim de vida do modelo, e as peças de reposição ficam difíceis de achar.

Os riscos para o hotel

• Segurança. Vulnerabilidades públicas em sistemas sem suporte continuam abertas, e ferramentas de ataque automatizadas procuram exatamente por elas. É uma porta de entrada conhecida para ransomware em hotéis.
• PCI DSS. Para sistemas no escopo de pagamento com cartão, o PCI DSS v4.0.1 pede que correções críticas sejam instaladas em até um mês após a publicação (requisito 6.3.3), o que é impossível em um sistema que não recebe mais correções. O requisito 12.3.4 exige revisar, ao menos a cada 12 meses, se hardware e software continuam recebendo correções do fabricante, e manter um plano aprovado pela alta gestão para substituir tecnologias em fim de vida. Veja mais em PCI DSS para hotéis.
• LGPD. O artigo 46 exige medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais. Um sistema sem correções que guarda dados de hóspedes dificulta demonstrar essas medidas depois de um incidente.
• Seguro cibernético. Muitos questionários de seguro perguntam sobre sistemas sem suporte, e a resposta pode afetar o prêmio ou a cobertura.
• Operação. Hardware antigo falha, as peças são difíceis de encontrar e a recuperação depende de alguém que ainda conheça o sistema. Sem um plano de contingência, uma falha vira dias de operação manual.

Quando não dá para trocar agora

Nem sempre é possível substituir tudo de uma vez. O que dá para fazer já é reduzir a exposição de cada sistema que precisa ficar:

• Isolar na rede. Colocar essas máquinas em um segmento próprio, com firewall liberando só o que o sistema precisa, e nunca na mesma rede do Wi-Fi de hóspedes.
• Cortar a internet e o e-mail. Uma máquina sem suporte não deve ser usada para navegar nem para ler e-mails.
• Restringir o que pode ser executado. Quando for tecnicamente possível, permitir só os programas e serviços de que o equipamento precisa. Funciona bem em máquinas dedicadas, como o computador da manutenção, quiosques e controladores de acesso.
• Restringir o acesso remoto. Nada de área de trabalho remota exposta à internet. O acesso do fornecedor deve passar por um canal controlado, com MFA e registro.
• Usar as atualizações estendidas onde existem. O ESU do Windows 10 mantém as correções de segurança críticas e importantes por até três anos para empresas, como ponte até a troca. Ele não traz suporte técnico, outras correções nem novos recursos, e não devolve ao sistema o status de versão suportada.
• Virtualizar com cuidado. Levar o sistema antigo para uma máquina virtual em hardware suportado reduz o risco de falha física, mas não corrige o sistema operacional. E o host de virtualização também precisa estar em uma versão com suporte.
• Monitorar e fazer backup. Incluir essas máquinas no monitoramento quando a ferramenta for compatível, e manter backup com restauração testada. O backup precisa incluir também o que é necessário para reconstruir o serviço: instaladores, licenças, a versão do banco de dados, os arquivos de configuração e as credenciais das integrações.
• Documentar a exceção. Registrar o risco, as medidas de proteção, o responsável e a data-limite para a substituição.

Como montar o plano de substituição

1. Inventário. Cada computador, servidor e equipamento de rede, com sistema operacional, versão, função e data de fim de suporte.
2. Mapa de dependências. Para cada sistema legado, quais aplicações, integrações, equipamentos e fornecedores dependem dele. O servidor de maior risco nem sempre é o primeiro que dá para trocar.
3. Classificação por risco. Primeiro o que toca dados de cartão ou de hóspedes, o que está exposto à internet, o que para a operação se falhar e o que não tem fornecedor, peça de reposição ou procedimento de recuperação conhecido. Para cada item, a decisão é uma de três: atualizar, quando existe versão suportada; substituir, quando não existe; ou isolar temporariamente, com as medidas acima e uma data-limite.
4. Conversa com os fornecedores. Perguntar qual versão eles suportam e até quando. Às vezes a atualização do próprio sistema, como a migração do PMS para a nuvem, elimina o legado junto.
5. Orçamento em fases. Incluir a substituição no orçamento anual de TI, em vez de esperar a falha.
6. Descarte seguro. Antes de descartar, devolver ou reaproveitar um servidor, computador, terminal de POS ou equipamento de backup, apagar com segurança os dados, as credenciais e as configurações, e registrar o descarte.
7. Revisão anual. Atualizar o inventário uma vez por ano. Para quem aceita cartão, essa é a mesma revisão que o PCI DSS pede.

Como a HotelTI ajuda

Nossa equipe faz o inventário e a avaliação de risco dos sistemas legados como parte do diagnóstico de TI do hotel, define as medidas de proteção para o que precisa ficar e monta o plano de substituição com prioridades e orçamento. A execução técnica, como o isolamento de rede, as migrações e a troca de equipamentos, fica com a equipe de suporte ou o fornecedor do hotel, sob a nossa coordenação. As questões legais, como as obrigações da LGPD, devem ser validadas com o jurídico do próprio hotel.

Perguntas para avaliar o seu hotel

• Existe uma lista atualizada de todos os computadores, servidores e equipamentos de rede, com a versão do sistema?
• Algum sistema sem suporte processa dados de cartão ou de hóspedes?
• Essas máquinas estão isoladas do resto da rede e sem acesso à internet?
• Sabemos quais sistemas e integrações dependem de cada servidor antigo?
• Os fornecedores do PMS, do POS e das fechaduras informaram até quando suportam a versão atual?
• A substituição está no orçamento deste ano ou do próximo?

Próximos passos

O primeiro passo é saber o que existe. Com o inventário em mãos, fica claro o que precisa ser isolado agora, o que pode esperar e quanto a substituição vai custar ao longo dos próximos anos. Fale com a nossa equipe.

Fontes

• Microsoft, Windows 7, Windows 8.1, Windows Server 2003, 2008 R2, 2012 e 2012 R2: Microsoft Lifecycle, Windows 7, Windows 8.1, Server 2003, Server 2008 R2, Server 2012, Server 2012 R2
• Microsoft, Extended Security Updates (ESU) program for Windows 10, learn.microsoft.com
• Broadcom, End of General Support for vSphere 7.0, knowledge.broadcom.com; VMware, Reminder: vSphere 6.5/6.7 End of General Support, core.vmware.com
• CISA e FBI, ESXiArgs Ransomware Virtual Machine Recovery Guidance, fevereiro de 2023, cisa.gov
• CentOS Project, CentOS Linux EOL, centos.org
• Red Hat, Red Hat Enterprise Linux 7 reaches End of Maintenance Phase, access.redhat.com
• Canonical, Ubuntu release cycle, ubuntu.com
• PCI Security Standards Council, PCI DSS v4.0.1, requisitos 6.3.3 e 12.3.4, pcisecuritystandards.org
• Brasil, Lei nº 13.709/2018 (LGPD), art. 46, planalto.gov.br