01 技术背景
攻击者无需寻找新的漏洞。只需了解旧漏洞，再找到一个尚未修补这些漏洞的系统即可。这使得过时的软件成为极具吸引力的目标：漏洞已公开，相应的攻击工具也唾手可得。
几乎所有可公开访问的应用程序类型都受到影响，其中包括 Web 服务器、内容管理系统、在线商店、接口、框架或防火墙应用程序。
当所使用的应用程序或软件组件不再符合当前的安全水平时，即称为过时软件。这主要有两种原因：
未安装安全更新往往源于补丁管理不足。而在终止支持后继续使用软件，通常表明资产管理和生命周期管理存在缺陷。
02 风险与影响
已知安全漏洞都有公开记录，其中许多已有现成的攻击工具。攻击者并非专门针对某家企业，而是持续扫描整个互联网，寻找存在漏洞的系统。对于许多服务，从外部即可识别出所用的软件及版本——这一信息让攻击者更容易利用已知漏洞。
一旦攻击得逞，系统中处理的数据可能外泄。最坏的情况下，攻击者会完全控制该系统。
如果此类系统处理个人数据，还须考虑GDPR的要求。GDPR第32条要求控制者参照最新技术水平采取适当的技术和组织措施，以降低这些数据面临的风险。运行存在已知漏洞或已终止支持的软件版本，通常无法满足这些要求。
如果利用此类漏洞导致个人数据遭未经授权的披露、篡改或丢失，通常即构成个人数据泄露（即所谓的数据保护事件）。
风险更高的是那些在业务上已被替代、但在技术上仍可公开访问的旧系统。它们脱离了补丁管理的视野，却依然可被访问，往往仍存有需要保护的信息，最坏情况下甚至可成为进入内部网络的入口。
03 如何识别漏洞
在实践中，数据最小化常常与删除方案或保存期限联系在一起。但实际上，它早在收集个人数据时就已开始。
许多表单是多年来逐步扩充而成的，其中一些必填字段最初的用途早已无人追问。很多信息之所以被收集，只是因为它们“一直都是”表单的一部分——而不是因为相应的处理确实需要。因此，网站表单尤其值得仔细审视。
企业应检查哪些必填字段？
受影响的不只是称谓字段。常见的必填字段还包括：
对于其中每一个字段，都应提出同一个问题：
我们是否真的需要这项信息来实现处理目的——还是即使没有它，流程也能照常进行？
如果这个问题无法令人信服地回答，那么该字段至少不应该作为必填项设置。
这不仅仅关乎网站
数据最小化原则并不仅仅涉及联系表单。企业同样应当检查例如：
尤其是多年来逐步发展起来的系统，往往包含从未审视过其必要性的必填字段。
企业现在应该做些什么
欧盟法院的这一判决是对现有数据收集进行严格审查的良好契机。根据我们的咨询实践，我们建议：
不过，这并不意味着今后一律不得询问称谓。关键在于，具体目的是否确实需要该项信息。
结论
欧盟法院的这一判决远不止涉及正确称谓的问题。它提醒企业牢记《通用数据保护条例》（GDPR）的一项核心原则：
只能收集为相应目的确实必需的个人数据。
因此，数据最小化不仅仅是一项法律义务，更是合规数据处理流程的重要组成部分。定期检查表单、系统和必填字段，不仅能降低数据保护风险，往往还能提升应用的易用性。
我们的支持
无论是网站、客户门户还是内部流程——我们都会帮助您检验现有数据收集流程。我们共同评估哪些个人数据是实际需要的，并找出优化潜力。我们还会帮助您切实可行且符合法律规定地实施数据最小化原则，从而打造更高效的流程，增强客户信任，并满足 GDPR 的要求。
常见问题解答
什么是过时的软件？
过时软件主要指以下情况：未安装可用的安全更新，或厂商已停止对所用版本的支持。
为什么过时的软件是安全隐患？
已知的安全漏洞通常已公开公布，部分可利用免费的攻击工具进行利用。攻击者可以有针对性地寻找存在易受攻击软件版本的系统。 WS-001 过时的软件
使用过时的软件会带来哪些后果？
可能的后果从已处理数据外泄，直至系统被攻击者完全控制。
过时软件与GDPR有何关联？
如果涉及个人数据处理，GDPR第32条的要求尤为重要。根据该条，必须在考虑最新技术水平的前提下采取适当的技术和组织措施。
如何识别过时的软件？
前提是对所使用的系统、应用程序和服务建立完整的清单。在此基础上，即可检查相应软件是否仍受支持、是否有最新的安全更新。
应如何处理过时软件？
应以风险为导向，确定安全更新的优先级并及时安装。不再受支持的软件应尽可能替换；如短期内无法替换，可考虑采取额外防护措施，例如限制其可访问范围。
