Quanto controllo avete davvero sulla vostra IT?

C’è una domanda che probabilmente nessuno si pone durante la scelta di un nuovo servizio IT.

Il fornitore aumenta i prezzi. Cambia le condizioni contrattuali. Un prodotto viene dismesso. Un servizio viene modificato. Un’azienda viene acquisita. Oppure, semplicemente, tra qualche anno scopriamo che esiste una soluzione migliore per le nostre esigenze.

A quel punto la domanda diventa improvvisamente importante:

1. Quanto è facile uscire?

Per una PMI svizzera questa non è una questione puramente tecnica. È una questione di libertà di scelta, di rischio operativo e, in ultima analisi, di controllo sulla propria azienda.

È questo uno degli aspetti della sovranità digitale che secondo noi viene ancora discusso troppo poco.

Non crediamo che una PMI debba rinunciare al cloud per essere «sovrana».

Microsoft 365, Microsoft Azure, Amazon AWS, un qualsiasi grande cloud provider possono essere la scelta giusta. Lo stesso vale per software proprietario.

Non esiste una medaglia per chi utilizza più Open Source.

Il punto è capire quali dipendenze state creando quando scegliete una determinata tecnologia e se queste dipendenze sono state realmente valutate e scelte consapevolmente.

Perché dipendere da un fornitore non è necessariamente un problema.

Dipendere da un fornitore senza sapere quanto sarebbe difficile sostituirlo, invece, può diventarlo.

La dipendenza che non vediamo

Immaginiamo una PMI con 30 dipendenti.

La posta elettronica è nel cloud. I documenti sono nel cloud. L’autenticazione degli utenti passa dallo stesso ecosistema. Il backup utilizza un altro servizio integrato. Le applicazioni aziendali funzionano su una determinata piattaforma di virtualizzazione. Il sistema di sicurezza comunica con tutti questi componenti.

Tutto funziona. Anzi, funziona molto bene.

Ma proviamo a togliere mentalmente uno di questi elementi.

Qui emerge la differenza tra un’infrastruttura semplicemente funzionante e un’infrastruttura che l’azienda comprende e controlla: la modularità.

Un sistema nel quale tutto è strettamente integrato può essere molto comodo. Ma quando ogni componente dipende dalle altre, sostituirne una sola può diventare complicato.

Noi preferiamo, quando ha senso, un approccio più modulare.

Non significa che ogni componente debba essere indipendente da tutte le altre. Significa che possiamo sostituire un singolo “mattone” senza dover ricostruire l'intero edificio.

Questa scelta può comportare qualche integrazione in meno rispetto a un grande ecosistema cloud. In cambio, mantiene aperte più possibilità nel tempo.

E c'è un altro problema: la velocità con cui cambiano i grandi ecosistemi tecnologici.

I servizi cloud vengono modificati continuamente. Nuove funzioni vengono aggiunte, interfacce cambiate, prodotti rinominati o sostituiti, altre funzioni eliminate.

Basta pensare a quanto può cambiare l'interfaccia di un servizio in pochi mesi. Per l'utente finale può essere un miglioramento. Per chi deve gestire un ambiente IT aziendale, però, ogni cambiamento significa anche verificare cosa è cambiato, cosa non funziona più come prima e quali nuove dipendenze sono state introdotte.

Non possiamo prevedere ogni cambiamento.

Possiamo però cercare di costruire sistemi nei quali un cambiamento non costringa automaticamente a cambiare tutto il resto.

Identità e sicurezza: quando qualcosa va storto, chi c'è dall'altra parte?

I grandi provider cloud investono enormi risorse nella sicurezza. Sarebbe ingenuo pensare che una piccola azienda IT possa competere con loro semplicemente mettendo in piedi un'infrastruttura "più sicura".

Il problema è un altro.

2. Cosa succede quando un utente ha un problema e non riesce più ad accedere?

Un account bloccato. Un'autenticazione che non funziona. Un dispositivo compromesso. Un accesso che deve essere verificato urgentemente.

In questi momenti la differenza non la fa soltanto la tecnologia. La fa anche la possibilità di parlare con qualcuno che conosce l'ambiente. Con un grande provider, il supporto può essere strutturato, automatizzato e perfettamente funzionante. Ma il rapporto rimane quello tra un'azienda e un sistema di supporto.

Da Combined Networks GmbH la situazione è diversa.

Conosciamo personalmente ogni utente dei nostri clienti.

Non soltanto il responsabile IT. Non soltanto il direttore.

Gli utenti.

Sappiamo chi sono, quale ambiente utilizzano e, soprattutto, conosciamo il contesto nel quale si verifica il problema. Questo non rende il nostro sistema invulnerabile. Nessun sistema lo è.

Ma significa che, quando succede qualcosa, non si parte da zero. Per noi anche questo fa parte della sicurezza.

"I dati appartengono a noi" non significa necessariamente che siano facilmente recuperabili

Questa è forse una delle domande più semplici da porre e una delle più difficili a cui rispondere:

3. Se domani decidessimo di cambiare piattaforma, come porteremmo via i nostri dati?

Non possiamo fare un export? nel senso teorico.

Ma:

• quali dati possiamo esportare;
• in quale formato;
• con quali strumenti;
• quanto tempo richiede;
• quali metadati vengono persi;
• cosa possiamo realmente importare in un altro sistema.

Un dato può essere formalmente esportabile e, allo stesso tempo, essere estremamente difficile da utilizzare al di fuori della piattaforma che lo ha generato.

La portabilità dovrebbe quindi essere considerata una caratteristica dell’infrastruttura, non una questione da affrontare soltanto quando si decide di cambiare fornitore.

Il vostro ambiente di lavoro è diventato un ecosistema

La posta elettronica una volta era semplicemente posta elettronica. Oggi è collegata a calendari, contatti, documenti, videoconferenze, chat, applicazioni e automazioni.

Questo porta enormi vantaggi. Ma ogni nuova integrazione rende l’ecosistema un po’ più difficile da sostituire.

4. Quanto della nostra attività dipende oggi da Microsoft 365?

La dipendenza diventa un problema soprattutto quando l’azienda non sa di averla.

Anche il backup può avere una dipendenza

Il backup dovrebbe essere la nostra assicurazione contro la perdita del sistema principale.

Ma un’assicurazione è utile soltanto se possiamo utilizzarla quando ne abbiamo bisogno.

Per questo vale la pena guardare oltre e chiedere:

5. Potremmo ripristinare i nostri sistemi se l’ambiente principale non fosse più disponibile?

Un backup che dipende dalle stesse identità, infrastrutture o servizi che dovrebbe proteggere può avere dei limiti proprio nel momento in cui serve.

Non basta avere una copia dei dati.

Bisogna sapere se quella copia è realmente utilizzabile in caso di emergenza.

La virtualizzazione è una scelta strategica, non solo tecnica

Per molti anni la virtualizzazione è stata quasi invisibile alle aziende.

Le macchine virtuali funzionano, le applicazioni funzionano e il sistema operativo non interessa particolarmente a nessuno.

Prima o poi, però, arriva il momento di migrare. A quel punto diventano importanti la portabilità delle macchine virtuali, la compatibilità delle applicazioni, gli strumenti di backup e il grado di dipendenza da un determinato hypervisor. Anche i costi e le competenze necessarie per cambiare piattaforma fanno parte della valutazione.

È qui che può entrare in gioco anche l’Open Source.

Una piattaforma Open Source può ridurre alcune forme di dipendenza, ma Open Source non significa automaticamente indipendenza.

Servono competenze, gestione, backup, monitoraggio, sicurezza e soprattutto una strategia.

È la combinazione di questi elementi a rendere un’infrastruttura realmente indipendente.

Anche la cybersicurezza può creare vendor lock-in

C’è una certa ironia nel fatto che un’azienda possa diventare dipendente proprio dagli strumenti che utilizza per proteggersi.

Un moderno ambiente di sicurezza può comprendere firewall, EDR, MFA, SIEM, monitoring, backup e numerosi altri componenti.

Più questi strumenti sono integrati, più possono essere efficaci.

Ma anche più difficile può diventare sostituirne uno.

A questo punto si pone la domanda:

6. Quanto è sicuro il nostro security stack e quanto dipendiamo dal suo fornitore?

Per una PMI questo equilibrio è particolarmente importante.

La sicurezza dovrebbe ridurre il rischio, non semplicemente spostarlo.

L’ultima dipendenza è quella che stiamo ancora imparando a capire

L’intelligenza artificiale sta introducendo un nuovo livello di dipendenza tecnologica.

Sempre più aziende utilizzano servizi AI per scrivere, analizzare, classificare, tradurre, programmare o elaborare informazioni.

E ancora una volta la tecnologia in sé non è il problema.

La domanda è:

7. Quali informazioni stiamo affidando a questi servizi?

Dobbiamo sapere dove vengono elaborati i dati, quali condizioni si applicano, cosa succede ai dati, quanto del nostro know-how aziendale finisce progressivamente all’interno di un servizio esterno.

Questa è una forma di dipendenza che molte aziende stanno appena iniziando a considerare.

Quindi dobbiamo tornare tutti all'IT locale?

No.

E sarebbe una conclusione piuttosto semplicistica.

La sovranità digitale non significa che ogni azienda debba costruire il proprio datacenter.

Non significa nemmeno che tutto debba essere Open Source, che ogni server debba trovarsi in Svizzera o che Microsoft, Google, Amazon e altri grandi fornitori debbano essere evitati.

Una PMI di 20, 50 o 100 persone non può e non deve gestire tutto internamente.

L’indipendenza non significa fare tutto da soli.

Significa sapere cosa si sta delegando.

E soprattutto scegliere consapevolmente cosa vale la pena delegare.

Un test rapido per la vostra azienda. Cinque domande che vale la pena porsi.

1. Quali sono i tre servizi IT dai quali la nostra azienda dipende maggiormente?
2. Cosa succederebbe se uno di questi servizi non fosse disponibile per 24 ore?
3. Potremmo recuperare e utilizzare i nostri dati al di fuori della piattaforma attuale?
4. Quanto tempo e quanto denaro servirebbero per cambiare il nostro principale fornitore IT?
5. Quali di queste dipendenze abbiamo scelto consapevolmente e quali si sono semplicemente create nel tempo?

L’ultima domanda è forse la più interessante.

Perché molte dipendenze IT non vengono decise.

Succedono.

Una piattaforma viene introdotta perché è comoda. Poi viene collegata a un’altra applicazione. Poi a un’altra ancora. Dopo qualche anno diventa parte integrante dell’azienda.

Nessuno ha mai deciso di dipendere da quella piattaforma.

Eppure lo siamo.

Sovranità digitale significa avere una scelta

Per noi, indipendenza non significa scegliere sempre Open Source. Significa poter scegliere.

Un cliente può avere bisogno di Windows. Un altro può utilizzare Linux.

Un ambiente può avere bisogno di Fortinet, mentre un altro può essere perfettamente gestibile con OPNsense.

Possiamo utilizzare XCP-ng come piattaforma di virtualizzazione e, allo stesso tempo, scegliere una soluzione proprietaria per il backup perché in quel caso offre le caratteristiche e l'affidabilità di cui abbiamo bisogno.

La tecnologia non dovrebbe essere scelta in base al catalogo del fornitore.

Dovrebbe essere scelta in base alle esigenze dell'azienda.

Questo significa anche accettare che una soluzione possa essere più integrata di un'altra, oppure che una determinata tecnologia proprietaria sia, in un caso concreto, la scelta migliore.

La vera libertà non consiste nell’essere indipendenti da ogni tecnologia.

Consiste nell’avere ancora una scelta quando le condizioni cambiano.

Ed è proprio questa libertà di scelta che, per noi, fa parte della sovranità digitale.

Un'IT sicura e indipendente per le PMI svizzere

È questo il modo in cui intendiamo la sovranità digitale e l’indipendenza IT.

Non come slogan e nemmeno come rifiuto del cloud di grandi fornitori.

Ma come un approccio alla progettazione e alla gestione dell’IT nel quale sicurezza, affidabilità e indipendenza vengono considerate insieme.

Per una PMI svizzera non significa necessariamente cambiare tecnologia.

A volte significa semplicemente capire meglio quella che già utilizza.

E magari scoprire che alcune dipendenze sono perfettamente accettabili, mentre altre meritano di essere ridotte.

Perché la prima forma di indipendenza IT è sapere da cosa dipendiamo.