Ciao, sono Ale.
Prima di partire con la newsletter, ci tengo a ritagliare uno spazio per annunciarti il prossimo Lab: tre ore con le mani in pasta nelle tecnologie più all’avanguardia per la rete e la sicurezza.
L’appuntamento è per il 1 ottobre nella nostra sede di Vicenza, con colazione e pranzo per aggiungere un momento di condivisione e confronto informale tra colleghi di realtà diverse.
Se stai facendo scouting di nuove soluzioni, non puoi mancare. Trovi tutti i dettagli a questo link: https://www.ipway.it/ilab-1-ottobre
Torniamo a noi: quando parliamo di NIS2 e di gestione del rischio partiamo quasi sempre dalla cybersecurity. È l’ordine sbagliato.
Prima della sicurezza c’è la disponibilità della rete. Un’infrastruttura che non regge non la metti in sicurezza, la rimetti in piedi. E allora la progettazione della rete diventa il punto di partenza per la gestione del rischio, tutt’altro che un capitolo tecnico da chiudere in fretta prima di passare alle cose importanti.
Per parlarne ho invitato Pietro Marchiorato, CTO di IPway.
Pietro viene dal networking, come network engineer, e continua a seguirne le evoluzioni in prima persona. Ha un canale diretto con i team di ricerca e sviluppo di Extreme Networks negli Stati Uniti, un accesso che non nasce solo dalla nostra classificazione Diamond, il massimo livello di partnership, ma da una marcata predisposizione ad andare un po’ più a fondo nella conoscenza delle tecnologie.
Tra l’altro, Pietro ha solo 24 anni, ma su questo torniamo alla fine.
Ecco cosa ci siamo detti.
Partiamo dal ruolo. Per anni il network engineer è stato “quello che collega sedi e dispositivi”. Cosa fa oggi?
Il ruolo è cambiato moltissimo. Oggi la rete è una piattaforma abilitante per l’erogazione di tutti i servizi aziendali: applicazioni, cloud, cybersecurity e OT dipendono tutti dalla rete. Il nostro lavoro va molto oltre la configurazione di apparati, switch, router e access point: progettiamo infrastrutture con attenzione alla user experience di utenti e amministratori, alle performance, alla solidità e osservabilità.
Ci sono due temi su cui non si può transigere. Il primo è la continuità operativa: una rete deve funzionare non soltanto quando tutto va bene, deve essere reattiva e adattarsi alle condizioni circostanti. Il secondo è la sicurezza, perché la rete è il punto di accesso di utenti, servizi, host, dispositivi, e solo chi è autorizzato con i giusti privilegi deve poter raggiungere una destinazione.
Poi c’è l’orchestrazione. Estendere nuovi servizi, adottare politiche di segmentazione deve essere possibile in modo dinamico, automatizzabile e ripetibile nel day to day, senza disservizi e senza dichiarare finestre di manutenzione come accadeva un tempo.
Il valore di un buon progetto si vede proprio in quei momenti: quanto velocemente l’infrastruttura reagisce a un cambiamento, a un guasto, quanto riesce a contenerlo, quanto riesce a mantenere disponibili i servizi critici?
In IPway diciamo sempre che rete e cybersecurity sono due competenze che lavorano insieme. Dove si incontrano davvero?
Non sono due mondi separati, convergono. Storicamente la sicurezza era concentrata sul perimetro e sull’endpoint: proteggeva l’ingresso e l’uscita dalla rete, tipicamente con un firewall. Oggi non basta più, perché hai utenti remoti, applicazioni raggiunte da qualunque posizione, dispositivi distribuiti tra data center, ambienti di produzione e sedi remote.
L’obiettivo è portare i principi della Zero Trust Architecture direttamente all’edge della rete. Significa analizzare la postura e prendere decisioni nel punto in cui il dispositivo si collega: la singola porta Ethernet, il singolo SSID. L’identità dell’utente, il tipo di dispositivo, il suo livello di autorizzazione determinano dinamicamente quali punti dell’infrastruttura può raggiungere.
La rete diventa essa stessa parte dell’architettura di sicurezza. È la stessa direzione delle architetture SASE, e la collaborazione tra competenze di networking e cybersecurity è ciò che permette di costruire infrastrutture più semplici da gestire e allo stesso tempo più segmentate, controllate e resilienti.
Le tecnologie evolvono freneticamente in diverse direzioni. Dove vedi le novità che effettivamente contano?
La sfida principale è gestire infrastrutture sempre più complesse mantenendole semplici dal punto di vista operativo. Utenti mobili, applicazioni SaaS, cloud, data center, IoT, sistemi IT: con architetture tradizionali questa gestione diventa rapidamente ingestibile.
Vedo tre direttrici: automazione, fabric networking e integrazione tra IT e OT.
Le architetture fabric riducono drasticamente la complessità operativa e permettono di creare servizi molto più dinamici, fino a micro servizi per il singolo host sulla singola porta, governando la comunicazione tra endpoint direttamente dal punto di accesso.
Automazione e strumenti di assurance ci fanno comprendere in tempo reale lo stato dell’infrastruttura, quindi ci permettono di intervenire prima che un problema abbia impatto e attuare politiche di gestione preventive.
C’è poi la convergenza tra IT e OT. Negli ambienti industriali la rete non deve garantire soltanto la sicurezza cyber: entra in gioco anche la sicurezza delle persone e dell’ambiente, la disponibilità degli impianti, la continuità dei processi produttivi. Sono metriche che diventano driver progettuali. In quei contesti progettare bene la rete significa conoscere il processo produttivo che quella rete deve sostenere.
Tu hai un canale diretto con chi sviluppa la tecnologia in Extreme Networks. Quando poi sei davanti a un cliente o ad un progetto, cosa ti danno in più gli insight che ricavi da loro?
Conoscere la soluzione prima che vada in early availability, quindi testarla, validarla e seguirne in prima persona il deployment. E poi conoscere dal di dentro la roadmap del vendor aiuta ad individuare le direttrici su cui realmente stanno evolvendo le tecnologie. A volte le acquisizioni o gli sviluppi di certe funzionalità sono motivati più da questioni di mercato che non dalla visione tecnica. Sapere su cosa puntare tra tutte le novità è un vantaggio strategico non da poco.
Di Extreme Networks cosa ti convince tecnicamente?
La possibilità di costruire una rete partendo da un concetto diverso dal networking tradizionale, cioè semplificare l’infrastruttura attraverso il Fabric. I servizi vengono estesi dove servono senza dover riconfigurare continuamente tutta l’infrastruttura sottostante. Questo significa semplicità operativa e una superficie molto ridotta per l’errore umano.
Per me è un punto fondamentale: la semplicità operativa è una forma che garantisce solidità e resilienza, non soltanto un argomento di proposizione tecnica.
Bisognerebbe partecipare ai nostri laboratori per toccare con mano il modo con cui puoi attaccare un cavo ad una porta dello switch senza generare loop e delegando al sistema l’autoconfigurazione del servizio di rete. Fa sempre il suo effetto.
Poi c’è la segmentazione granulare. Possiamo creare servizi separati logicamente sulla stessa infrastruttura fisica e portarli fino all’edge, integrando policy di accesso, controllo dell’identità e governo del traffico sulla singola porta. È interessante nei grandi campus, nella grande distribuzione, nel manifatturiero, nella sanità, dove IT, IoT e sistemi di sicurezza convivono sulla stessa infrastruttura e devi tenere separati i domini broadcast, l’IT dalle telecamere, dall’infrastruttura a servizio del building.
Quello che ci convince non è la performance dello switch o dell’access point. È l’intero stack tecnologico e l’architettura che possiamo costruirci intorno.
Quando realizzi una rete, non stai comprando apparati, stai definendo logiche che governeranno l’infrastruttura portante da cui dipendono i servizi e la loro sicurezza.
Aggiungo un aspetto che a me interessa molto: anche dal punto di vista del ROI, quello stack governa anche apparati di terze parti, quindi non serve sostituire tutto l’hardware esistente per portare approcci più efficienti.
Esatto, questo ci permette piani di migrazione graduale. Aggiungiamo lo stack come overlay per l’orchestrazione, prendendo in carico le terze parti, e diamo al cliente un unico punto da cui automatizzare la configurazione mantenendo gli apparati esistenti su un orizzonte temporale più esteso. Con altri vendor non è possibile.
Nel digital si parla di tecnologie disruptive contrapposte a quelle legacy. Nel networking cosa c’è di dirompente e cos’è diventato legacy?
L’hardware che prendi bene o male è quello, evolvono specifiche e caratteristiche delle porte o la capacità di calcolo, ma sono le componenti di gestione a fare la differenza.
Poche aziende in questo momento stanno adottando politiche di sicurezza edge, quindi si proteggono dalle minacce interne. Poche stanno adottando orchestrazione centralizzata, quindi la capacità di applicare segmentazione e segregazione in modo dinamico senza mettere mano ai singoli apparati ogni volta che devono estendere un servizio. Poche si stanno spingendo verso tecnologie che gestiscono gli alert in maniera proattiva, dove l’analisi di primo livello è già fatta e ti viene presentato un outcome che identifica la root cause, o addirittura il problema viene mitigato in automatico perché la scelta architetturale l’aveva previsto.
In ambito networking, qual è la tecnologia più sottovalutata dalle aziende italiane?
Proprio la sicurezza edge. Esiste, ma non viene vista come qualcosa da implementare e spesso non viene nemmeno proposta dai system integrator, perché è più complessa da progettare e da mettere in servizio. È invece l’elemento da attenzionare nel prossimo futuro, perché avere un’infrastruttura che by design applica politiche di sicurezza al punto di accesso e governa come gli utenti si spostano fa la differenza.
Nel tuo lavoro operativo, cosa vedi sbagliare dalle aziende riguardo alla progettazione della rete?
L’errore più comune è affidarsi a ciò che si conosce avendo paura di ciò che è nuovo. Le decisioni vengono prese su vendor storici, su ciò che è dato per scontato, sulle competenze acquisite, senza guardare effettivamente cosa viene offerto a corredo dell’hardware, del software, delle licenze, senza sfruttare i momenti di revamping per modernizzare davvero non solo qualche apparato.
Sul revamping il collo di bottiglia è l’errata stima delle attività. I clienti pensano che sia un’operazione lunghissima. Con la tecnologia giusta, il partner realmente qualificato riduce drasticamente i tempi di delivery. Spesso abbiamo sorpreso i clienti e bruciato i tempi che il cliente aveva ipotizzato.
Abbiamo esperienze molto eterogenee: dalla logistica e dalla GDO, che non devono mai fermarsi e ti danno fasce orarie di intervento ristrettissime, al manifatturiero con macchine in ciclo continuo, dove le migrazioni si fanno a caldo installando i nuovi apparati e migrando il singolo servizio, la singola porta, dichiarando al massimo qualche minuto di fermo.
Chiudo sulla domanda che tanti si fanno guardando il tuo profilo: 24 anni e il ruolo di CTO. Quanto è stato importante, per la tua crescita professionale, un ambiente in cui hai potuto prenderti da subito responsabilità?
Moltissimo.
Sono consapevole che ricoprire questo ruolo alla mia età non sia un percorso comune, allo stesso tempo non vivo l’età come un titolo di merito né come un limite.
Quello che ha fatto la differenza è aver avuto molto presto incarichi su progetti di un certo tipo: confrontarsi con i clienti, progettare infrastrutture critiche, prendere decisioni tecnologiche e operative, gestire problemi e assumersi la responsabilità delle proprie scelte. C’è un secondo aspetto, ed è rendersi conto molto velocemente di quante cose ci siano ancora da imparare. È la parte che trovo più stimolante.
Ti faccio un esempio. Non gestiamo connettività per terzi, eppure abbiamo deciso ugualmente di prendere la certificazione RIPE e siamo diventati un autonomous system. Perché conoscere anche ciò che non tratti commercialmente ma che fa parte dell’ecosistema che gestisci ti permette di estendere il ragionamento fino al modo in cui un’organizzazione si presenta e comunica su Internet. Così guardi le scelte progettuali con occhio diverso rispetto a chi si concentra solo sul proprio day to day.
Ringrazio Pietro per il tempo che mi ha dedicato e per la panoramica che ci ha dato sulla situazione presente del networking.
Torno un attimo su un punto che ho sollevato durante la chiacchierata, perché è quello su cui vedo perdere più valore.
Considerare la rete locale come un insieme di switch e access point, e quindi come un costo hardware, è un errore. Un revamping è l’occasione per cambiare la tua postura di sicurezza e il livello di continuità operativa che sei in grado di garantire.
Quello che stai acquistando non è hardware, è la disponibilità dei servizi di rete, l’esperienza d’uso di utenti e amministratori, la sicurezza delle infrastrutture, gli apparati sono il mezzo.
Ci sono team IT di rete che perdono una montagna di tempo a tenere in piedi la propria infrastruttura, ci sono inefficienze ampie da colmare e non si eliminano comprando ferro più performante.
Si eliminano con un progetto curato e con una scelta tecnologica coerente.
Alla prossima,
Ale
P.S. Su Extreme Networks e sulle architetture Fabric scriverò ancora, come ho fatto in questi mesi sul SASE. Se hai un revamping in programma o fermo da troppo tempo, rispondi a questa email e ne parliamo.
Alcune cose che, se ti va, possiamo fare insieme:
Lab 1 ottobre — tre ore mani in pasta su Extreme Networks e Cato Networks: un’occasione da non perdere se stai valutando nuove soluzioni tecniche.
Condividiamo — se hai un progetto che vuoi condividere con me o cerchi confronto su un argomento specifico.
Restiamo in contatto — ogni settimana condivido sul mio profilo LinkedIn insight legati alla tecnologia e soprattutto al suo impatto sul business.