Legacy IT è tecnologia che rimane in uso anche se è più vecchia, più difficile da mantenere o non è più adatta alle attuali esigenze aziendali. L'etichetta non riguarda solo l'età: un sistema può diventare legacy quando la documentazione è scarsa, gli specialisti sono pochi, il supporto per le patch sta terminando oppure le modifiche sono troppo rischiose da apportare rapidamente. In pratica, questo include spesso vecchie applicazioni, sistemi operativi, middleware e interfacce in stile terminale.
Nella cyber security, la Legacy IT è importante perché una scarsa manutenibilità aumenta l'esposizione. I componenti non supportati possono non ricevere correzioni di sicurezza, mentre il codice personalizzato fragile può rompersi durante gli aggiornamenti e ritardare la remediation. Gli attaccanti spesso prendono di mira i sistemi legacy per vulnerabilità note, autenticazione debole e monitoraggio insufficiente. I difensori riducono il rischio facendo l'inventario degli asset, dando priorità alle patch, segmentando i servizi critici, limitando l'accesso e pianificando la modernizzazione prima che il sistema diventi troppo costoso da modificare in sicurezza.