Los sistemas legacy son entornos informáticos, aplicaciones o infraestructuras tecnológicamente obsoletas que continúan operando dentro de una organización debido a su papel crítico en los procesos cotidianos. Aunque cumplen funciones esenciales para la actividad, su mantenimiento plantea serios problemas de integración, eficiencia y cumplimiento normativo, y en muchas ocasiones de seguridad.
Entender qué es un sistema heredado y analizar los factores que comprometen su estabilidad es fundamental para proteger la ciberseguridad y garantizar la continuidad de cualquier infraestructura corporativa.
Qué es un sistema heredado y cómo identificarlo
Un sistema heredado es una tecnología que ha quedado desactualizada frente a los estándares actuales y la evolución tecnológica, pero cuya sustitución se retrasa por su coste o por el riesgo de interrumpir la actividad de la empresa. En el entorno corporativo, el legacy software suele apoyarse en arquitecturas obsoletas o cerradas, o lenguajes de programación que ya no reciben soporte técnico por parte del fabricante.
A diferencia del software moderno, diseñado para entornos cloud y arquitecturas modulares, estos sistemas presentan limitaciones estructurales que dificultan su conexión con otras herramientas. Estas limitaciones complican su adaptación a nuevas necesidades e integración con otros sistemas, convirtiendo la infraestructura tecnológica en un freno para la mejora y eficiencia operativa.
Falta de soporte oficial y parches de seguridad
Uno de los aspectos más críticos de estas plataformas es la ausencia de mantenimiento por parte del proveedor. Cuando un programa alcanza el fin de su ciclo de vida, la empresa desarrolladora deja de emitir actualizaciones periódicas. Esto implica que cualquier vulnerabilidad detectada con posterioridad permanece abierta de forma indefinida.
Pérdida de conocimiento técnico y documentación
Con el paso de los años, los profesionales que diseñaron, programaron e implantaron la solución original suelen jubilarse o cambiar de empresa. Aunque la pérdida de conocimiento histórico ha sido tradicionalmente un problema crítico, el uso de inteligencia artificial permite hoy analizar y documentar código antiguo de forma ágil, facilitando el mantenimiento y reduciendo el impacto de esta brecha de conocimiento en el equipo de IT.
Dificultad en la evolución y escalabilidad de los sistemas.
Un sistema construido sobre una arquitectura obsoleta acumula una cada vez mayor deuda técnica, dificultando su evolución para adaptarse a los cambios en el negocio o su integración con nuevos sistemas cuando se busca la mejora operativa o escalar los servicios existentes ante el crecimiento del negocio.
Costes crecientes de mantenimiento y soporte
Conservar plataformas obsoletas requiere una inversión de recursos cada vez mayor. La búsqueda de recambios para hardware descatalogado o la contratación de especialistas en lenguajes antiguos incrementan los costes operativos sin aportar un valor directo al crecimiento del negocio.
Ejemplos habituales de legacy software en el entorno empresarial
El uso de sistemas legacy afecta a grandes estructuras industriales, financieras y del sector público donde la continuidad operativa es prioritaria.
ERP corporativos sobre versiones sin soporte (el caso de SAP ECC)
Una parte de la industria europea sigue gestionando su negocio sobre SAP ECC 6.0, una plataforma cuyo mantenimiento estándar por parte del fabricante finaliza el 31 de diciembre de 2027. A partir de esa fecha solo queda un mantenimiento extendido de pago hasta 2030, con un recargo sobre la cuota y la funcionalidad congelada: sin nuevas capacidades, únicamente correcciones.
Sin embargo, el problema real no es la versión del ERP, sino todo lo que se ha construido encima. Dos décadas de desarrollos a medida en ABAP, los conocidos programas Z, integraciones punto a punto con los sistemas de planta, el almacén o el EDI de los proveedores, y modificaciones del estándar que en su día resolvieron una necesidad concreta y que hoy nadie sabe explicar del todo. Ese código propio es el que determina el coste y el plazo real de una migración a S/4HANA, y es la razón por la que muchos proyectos se posponen ejercicio tras ejercicio hasta que la fecha aprieta.
A ello se suma el frente de seguridad. En abril de 2025, una vulnerabilidad en el componente Visual Composer de SAP NetWeaver (CVE-2025-31324, con la puntuación máxima de 10 sobre 10) permitió a atacantes no autenticados ejecutar código en sistemas expuestos a internet; la agencia estadounidense CISA la incorporó a su catálogo de vulnerabilidades explotadas de forma activa. Los entornos SAP antiguos son un objetivo especialmente rentable porque acumulan componentes instalados por defecto que nadie utiliza y porque su criticidad deja ventanas de parcheo muy estrechas: parar el ERP para actualizar cuesta dinero cada hora.
Frente a esta situación existe un camino intermedio entre no hacer nada y acometer una migración completa. Medir qué desarrollos propios siguen realmente en uso, retirar los que ya no aportan y desacoplar mediante APIs las integraciones que hoy atan el ERP a la planta reduce el alcance del proyecto antes de empezarlo, y puede abordarse sin detener la operación.
Sistemas operativos descatalogados en dispositivos críticos
Entornos como Windows XP o Windows 7 continúan activos en cajeros automáticos, equipos médicos y paneles de control industrial. Al carecer de actualizaciones, representan brechas de seguridad directas para la organización.
Aplicaciones financieras desarrolladas en COBOL
En banca y seguros, los sistemas centrales de transacciones suelen depender del código COBOL de los años 60 y 70. Aunque procesan grandes volúmenes de datos con estabilidad, dificultan la integración con arquitecturas cloud o APIs modernas.
Aplicaciones Java funcionando con versiones obsoletas
En sectores como Banca, industria, logística, Administraciones Públicas muchos sistemas desarrollados en Java siguen funcionando con versiones obsoletas de Java (6/7/8), sin aprovechar las mejoras en rendimiento y seguridad introducidas en las versiones más recientes.
Bases de datos locales obsoletas
Muchos servidores locales ejecutan gestores de bases de datos descatalogados para almacenar información de inventario o clientes. Esta obsolescencia impide conectar dichos entornos con herramientas avanzadas de analítica e inteligencia artificial.
Principales riesgos de los sistemas legacy para la seguridad corporativa
Mantener plataformas antiguas expone a la organización a múltiples amenazas digitales. Los riesgos de los sistemas legacy afectan tanto a la confidencialidad de la información corporativa como a la disponibilidad de los servicios esenciales.
Vulnerabilidades conocidas y brechas de seguridad
Los ciberdelincuentes analizan de forma sistemática el código de las herramientas descatalogadas para identificar vulnerabilidades no corregidas. Al carecer de parches oficiales, estos sistemas se convierten en objetivos sencillos para ataques de malware, ransomware o intrusiones orientadas a la extracción de datos confidenciales.
Incompatibilidad con herramientas modernas de protección
Las soluciones de ciberseguridad actuales, como la supervisión mediante agentes EDR (Endpoint Detection and Response) o el cifrado de datos de última generación, exigen sistemas operativos y arquitecturas actualizadas. El software antiguo no admite estos programas de protección, lo que crea puntos ciegos en la infraestructura tecnológica.
Movimiento lateral y efecto dominó en la red
Si un atacante logra acceder a un equipo obsoleto a través de una brecha conocida, puede utilizar ese acceso como punto de partida para desplazarse horizontalmente por la red corporativa. De este modo, la vulnerabilidad de un único sistema heredado compromete a servidores modernos, bases de datos y entornos cloud interconectados.
Inestabilidad operativa tras modificaciones del código
El intento de reparar un fallo o adaptar un programa antiguo sin el respaldo del proveedor suele derivar en errores en cadena. Debido a la complejidad y al desuso del código original, realizar una modificación menor puede provocar caídas del servicio imprevistas y detener la actividad empresarial.
Estrategias para la modernización de sistemas heredados
Sustituir de forma drástica un sistema crítico conlleva riesgos operativos inasumibles para la mayoría de las empresas. Por ello, la actualización de la arquitectura debe plantearse mediante una estrategia gradual que preserve la estabilidad de las operaciones.
Auditoría y diagnóstico del entorno IT
El primer paso consiste en realizar un análisis exhaustivo del código, las dependencias entre aplicaciones y los flujos de información. Este diagnóstico permite determinar qué componentes requieren una sustitución completa, cuáles se pueden migrar a la nube y cuáles deben reestructurarse mediante capas de integración.
Integración mediante APIs y desacoplamiento de servicios
En lugar de reconstruir toda la plataforma desde cero, es posible encapsular el software antiguo utilizando APIs y arquitecturas orientadas a servicios. Este enfoque permite conectar la base de datos heredada con aplicaciones web o plataformas analíticas modernas de forma segura, reduciendo el impacto en la operativa.
Migración gradual a la nube y refactorización
La migración a la nube permite modernizar la infraestructura por fases. Mediante la migración o refactorización del código, las funciones críticas se transfieren progresivamente a microservicios en la nube, lo que mejora la escalabilidad, optimiza los costes de computación y facilita la implantación de parches de seguridad continuos.
Evolución tecnológica con garantías de continuidad
Gestionar la coexistencia entre infraestructuras obsoletas y arquitecturas modernas exige combinar el conocimiento del negocio con un análisis riguroso del entorno informático. La transición debe priorizar la protección de los datos corporativos, el control de los costes y la continuidad operacional para mitigar los riesgos de sistemas legacy durante el proceso.
En Sulzer analizamos el estado de los entornos informáticos complejos, diseñamos arquitecturas de integración y ejecutamos planes de modernización adaptados a la realidad de cada organización. Si su empresa necesita evaluar el grado de obsolescencia de sus aplicaciones o planificar la migración segura de un sistema legacy, solicite una valoración técnica con nuestro equipo especializado.
Bibliografía
- Cybersecurity and Infrastructure Security Agency (CISA). (2023). Industrial Control Systems & Legacy Software Security Guidance. U.S. Department of Homeland Security.
- (2021). Legacy System Modernization Strategies and Risk Frameworks. Gartner Research.
- Instituto Nacional de Ciberseguridad (INCIBE). (2022). Guías de análisis de riesgos y ciberseguridad en software obsoleto e industrial. Ministerio de Transformación Digital y de la Función Pública de España.
- National Institute of Standards and Technology (NIST). (2018). Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy (NIST Special Publication 800-37, Revision 2). S. Department of Commerce.
