Infrastruttura e sicurezza

Macchine che si rifanno uguali

Ogni server nasce da ricette versionate, non da una sessione al terminale andata bene. Le procedure stanno nel repository accanto al codice che governano, e ogni scelta strutturale lascia scritto il perché.

Le operazioni distruttive hanno un comportamento dichiarato e ripetibile: rieseguire non deve fare danni, e questo va provato, non sperato.

Il confine è la rete, non la buona fede

Separare i clienti a livello di rete costa più fatica che filtrarli nel codice, ma è l’unico livello che regge quando il codice sbaglia: reti dedicate per ogni cliente e ingresso attraverso un tunnel invece che con porte aperte su internet.

Le credenziali stanno in una cassaforte con certificati a scadenza breve: l’applicazione riceve chiavi generate al momento, non stringhe copiate in un file di configurazione.

Accorgersene prima del cliente

Metriche, controlli che sanno distinguere «acceso» da «funzionante», allarmi che scattano su sintomi utili invece che su ogni sfarfallio. Un allarme che suona sempre è un allarme spento.

Dove ha senso la reazione è automatica e graduale: prima il rimedio leggero, poi quello pesante, e se il problema si ripete si smette di insistere e si chiama una persona. Ogni tentativo resta scritto.

Backup che sappiamo ripristinare, prove che reggono

Un backup non verificato è un file. La prova di ripristino va automatizzata su un database usa e getta e deve controllare anche che le protezioni tornino su davvero — non che esistano, che funzionino.

Gli obiettivi di ripristino (quanto tempo, quanti dati) sono dichiarati per servizio e misurati con esercitazioni periodiche: un numero mai verificato è un desiderio, un numero uscito da una prova è un impegno.

Le stesse cose che tengono in piedi il sistema producono le prove per un audit: registro eventi in sola aggiunta, storico degli incidenti, report periodico. Se per fare una prova serve una persona che esporta a mano, quella prova arriverà tardi.

Dove mettiamo le macchine, e perché

Non esiste una risposta valida per tutti, ed è il motivo per cui non vendiamo una piattaforma sola. Il carico prevedibile di un gestionale usato da quaranta persone non ha bisogno dell’elasticità del cloud pubblico, e la paga comunque ogni mese. Un negozio online con picchi stagionali, invece, ne guadagna davvero.

La configurazione che vediamo funzionare più spesso è mista: posta e strumenti di collaborazione su servizi gestiti, gestionale e dati su macchine controllate, copie di sicurezza in un terzo posto che non dipende dai primi due. L’importante è che ogni pezzo sia una scelta consapevole e non un’eredità.

E che ci sia scritto perché sta lì: la maggior parte delle infrastrutture che troviamo non è stata progettata, si è stratificata.

Aggiornare senza fermare

I sistemi non aggiornati sono la porta d’ingresso più comune dopo le credenziali rubate. Ma aggiornare fa paura perché ogni volta qualcosa si rompe — e la paura, dopo un po’, produce macchine ferme a tre anni fa.

La strada è renderlo noioso: ambienti di prova identici alla produzione, aggiornamenti coordinati in una finestra dichiarata, una macchina alla volta con verifica dopo ciascuna, e la possibilità di tornare indietro in pochi minuti. Quando tornare indietro è facile, aggiornare smette di essere una scommessa.

Cosa vi consegniamo, oltre alle macchine

Un inventario di cosa esiste e a cosa serve. Le procedure operative per le cose che capitano: un disco pieno, un servizio che non riparte, un ripristino. Il piano di risposta agli incidenti con nomi e numeri, non ruoli generici.

E le credenziali, in una cassaforte che è vostra. È il punto su cui insistiamo di più: un’infrastruttura di cui non avete le chiavi non è vostra, per quanto bene sia costruita.