Ibrido e multi-cloud: flessibilità e sicurezza

Per quanto i modelli ibridi e multi-cloud possano sembrare allettanti sulla carta, nella pratica molte aziende si scontrano con i propri limiti. Le sfide sono meno di natura tecnica e più strutturale e organizzativa. Secondo il Cloud Security Report 2024[2] di Fortinet, il 59% delle aziende cita i rischi di sicurezza e conformità come il problema principale. Questo perché i diversi standard di sicurezza e strumenti dei fornitori rendono difficile un concetto di protezione coerente.

Anche il controllo dei sistemi distribuiti rimane una sfida: il 52% degli intervistati lamenta una mancanza di trasparenza, API incompatibili e un panorama di strumenti frammentato. A ciò si aggiunge la carenza di personale qualificato: il 49% delle aziende ha difficoltà a trovare personale qualificato per l'architettura cloud, l'automazione e la governance.

Particolarmente complessa è l'uniformazione della gestione delle identità e degli accessi (IAM) tra i diversi fornitori. Chi desidera implementare il monitoraggio, la registrazione e le politiche di sicurezza a livello trasversale non ha solo bisogno degli strumenti adeguati, ma anche di una strategia chiara e di risorse sufficienti.

[2] https://www.fortinet.com/content/dam/fortinet/assets/reports/de_de/cloud-security-report-2024.pdf

Uno dei principali fattori di efficienza negli ambienti ibridi e multi-cloud è la corretta allocazione dei carichi di lavoro. In questo contesto, non solo la compatibilità tecnica e i requisiti di prestazione giocano un ruolo importante, ma anche considerazioni economiche e condizioni quadro normative. Chi distribuisce i propri sistemi in modo sensato può non solo ridurre al minimo i rischi, ma anche risparmiare notevolmente sui costi.

Una guida collaudata è la seguente: le applicazioni con un elevato fabbisogno di risorse, modelli di utilizzo dinamici o esigenze di protezione ridotte possono essere gestite in modo efficiente nel cloud pubblico. Al contrario, per i sistemi sensibili ai dati, critici per l'azienda o fortemente regolamentati, è consigliabile un ambiente cloud privato o sovrano. Gli scenari ibridi consentono inoltre un posizionamento differenziato, in cui flessibilità e controllo sono bilanciati in modo mirato. Alcuni modelli di utilizzo tipici: Cloud pubblico: sistemi di sviluppo e test, applicazioni web, progetti AI/ML con elevato fabbisogno di risorse

• Cloud privato: sistemi ERP, dati finanziari o sanitari sensibili, archiviazione rilevante ai fini della conformità
• Cloud ibrido: piattaforme CRM, business intelligence, orchestrazione di container con conservazione dei dati a livello regionale
• Multi-cloud: piattaforme di analisi distribuite, sistemi di backup, cluster di calcolo GPU o distribuzione resiliente dei dati tra hyperscaler

Questa distribuzione intelligente del carico di lavoro non solo è sensata dal punto di vista organizzativo, ma comporta anche vantaggi finanziari tangibili: secondo uno studio condotto da Infoblox, in scenari ibridi e multi-cloud è possibile risparmiare fino al 50% dei costi operativi.

La scelta della base tecnologica – open source o proprietaria – non è solo una questione di funzionalità, ma anche di orientamento strategico. Le soluzioni open source offrono il massimo controllo, indipendenza e adattabilità, ad esempio quando si tratta di requisiti specifici di sicurezza o conformità. Le piattaforme proprietarie, invece, si distinguono per i servizi immediatamente disponibili, l'elevata facilità d'uso e il supporto integrato. La decisione è anche una questione di dipendenza: quanto controllo si desidera mantenere e quanto comfort si è disposti a sacrificare in cambio?

L'open source è un elemento essenziale, soprattutto nelle architetture di cloud privato. Secondo la nostra esperienza, laddove l'attenzione è rivolta alla sicurezza, alla personalizzazione e all'indipendenza a lungo termine, è opportuno puntare il più possibile sulle tecnologie open source. Queste non solo offrono la massima trasparenza sul codice, ma consentono anche un'integrazione flessibile e un ulteriore sviluppo personalizzato. Si tratta di un chiaro vantaggio quando si tratta di sovranità dei dati e requisiti normativi.

È fondamentale sottolineare che la scelta della tecnologia non deve essere presa da soli. Fornitori di servizi IT esperti aiutano nella selezione e nell'integrazione della soluzione più adatta. Spesso si ottiene un modello misto: open source dove sono richiesti adattamenti individuali e sovranità dei dati; servizi proprietari dove sono fondamentali efficienza, disponibilità e facilità d'uso.

L'introduzione di architetture ibride e multi-cloud non è un progetto che può essere realizzato con un unico grande passo. Richiede piuttosto un processo strutturato e iterativo che tenga conto degli aspetti tecnici, organizzativi e culturali. Si è dimostrato efficace un approccio in sei fasi:

1. Inventario: analisi del panorama IT esistente, dei requisiti di sicurezza, dei flussi di dati e del quadro giuridico.
2. Obiettivo e architettura: definizione di un'architettura target sostenibile con particolare attenzione all'automazione, all'interoperabilità, alla sicurezza e alla governance.
3. Progetto pilota (Proof of Concept): convalida del concetto sulla base di carichi di lavoro selezionati in un ambiente sicuro e controllato.
4. Rollout e integrazione: scalabilità dell'architettura, introduzione di strumenti Infrastructure-as-Code come Terraform o Ansible, integrazione nei sistemi esistenti.
5. Funzionamento e monitoraggio: creazione di un monitoraggio trasversale (ad es. SIEM, APM), protezione dei flussi di dati, ottimizzazione delle prestazioni.
6. Gestione del cambiamento: formazione continua, adeguamento dei processi, creazione di una cultura di governance del cloud all'interno dell'azienda.

Con l'avvento dei sistemi di IA generativa come i modelli linguistici di grandi dimensioni (LLM), molte aziende si trovano ad affrontare la sfida di conciliare queste potenti tecnologie con i propri requisiti in materia di protezione e controllo dei dati. Molte aziende considerano problematico l'utilizzo di servizi di IA disponibili al pubblico, ad esempio quando sono coinvolti documenti interni, dati dei clienti o informazioni strategiche.

Gli ambienti cloud privati offrono un'alternativa interessante: consentono di utilizzare modelli di IA a livello locale o in un'infrastruttura sovrana, mantenendo il pieno controllo sui flussi di dati. Le aziende possono addestrare i propri modelli o arricchire in modo mirato gli LLM esistenti con i propri contenuti, senza che questi migrino verso piattaforme cloud pubbliche.

1. Qual è la differenza tra cloud ibrido e multi-cloud?
   Un cloud ibrido combina ambienti cloud privati e pubblici, ad esempio dati sensibili nel cloud privato e applicazioni scalabili nel cloud pubblico. Multi-cloud significa l'utilizzo parallelo di più fornitori di servizi cloud per ridurre le dipendenze e sfruttare al meglio servizi speciali.
    
2. Perché non è sufficiente che i fornitori di cloud globali abbiano centri di calcolo in Svizzera?
   Sebbene i fornitori internazionali gestiscano sedi in Svizzera, spesso continuano a essere soggetti a leggi straniere, come il CLOUD Act statunitense. Per garantire la massima sovranità dei dati sono necessarie architetture che assicurino che i dati vengano elaborati entro confini giuridici e geografici chiaramente definiti, ad esempio in un cloud privato svizzero sovrano.
    
3. Quali applicazioni appartengono al cloud pubblico e quali al cloud privato?
   Come regola generale, le applicazioni con un elevato fabbisogno di risorse o con esigenze di protezione ridotte, come le applicazioni web o i progetti di test di intelligenza artificiale, possono essere gestite in modo efficiente nel cloud pubblico. I cloud privati, invece, sono il luogo ideale per sistemi critici per l'azienda, sensibili ai dati o fortemente regolamentati, come il software ERP e i dati finanziari.
    
4. Quali sono i principali ostacoli all'introduzione di una strategia multi-cloud?
   Le sfide sono spesso di natura organizzativa piuttosto che tecnica: tra queste figurano i rischi per la sicurezza e la conformità dovuti a standard diversi, la mancanza di trasparenza nei sistemi distribuiti e l'acuta carenza di esperti in architettura e governance cloud.
    
5. Come posso utilizzare l'IA generativa (come gli LLM) senza compromettere la sicurezza dei miei dati?
   Invece di utilizzare servizi di IA pubblici, in cui i dati aziendali sensibili potrebbero migrare, gli ambienti cloud privati offrono un'alternativa sicura. Consentono di addestrare e gestire modelli di IA a livello locale o su infrastrutture sovrane, mantenendo il pieno controllo sui propri flussi di dati.
    
6. Perché dovremmo puntare sulle tecnologie open source?
   L'open source offre la massima trasparenza, adattabilità e indipendenza dai singoli fornitori. Soprattutto nelle architetture cloud private, dove la sicurezza e la sovranità dei dati sono al centro dell'attenzione, le soluzioni open source consentono personalizzazioni individuali e un controllo a lungo termine sull'infrastruttura.