Ho avuto occasione di chiacchierare con Stefano qualche volta, oltre a seguire il suo blog da tempo. Oltre a sapere di cosa parla, ha il pregio di cercare i fatti a sostegno delle sue posizioni, oltre ad ascoltare le opinioni altrui. Inoltre, la sua competenza non si limita agli aspetti tecnici, il che non è comune.
Per chi vuole farsi un’idea, il suo blog è qui:
http://blog.quintarelli.it/

… quindi sì, vi sto suggerendo di firmare la petizione
http://www.firmiamo.it/stefano-quintarelli-4-president

Ultimamente mi sono interessato parecchio di cloud, e in particolare ho partecipato come Clusit al gruppo di lavoro della Oracle Community for Security sulla privacy nel cloud. Il tema del cloud chaining, ovvero quando un cloud provider si appoggia a sua volta ad un altro cloud provider (in questo caso per lo storage) è emerso chiaramente come un problema importante e sul quale l’utente finale ha poca visibilità e poca possibilità di controllo diretto.

Ma qui vorrei mettere in evidenza un’altra questione. Quando si parla di cloud, sottolineo sempre che comunque l’utente dovrebbe considerare di conservare copia dei propri dati, ad esempio presso un altro fornitore, in una banale logica di ridondanza. Mi viene a volte risposto che il cloud provider fornisce già questa funzionalità, e quindi non è necessario sprecare risorse per replicarla da parte dell’utente.

Prima di tutto, questo episodio dimostra che quello che io temo, ovvero che il fornitore possa non dare su questa funzionalità le garanzie necessarie, non solo può succedere ma succede. Ma il punto fondamentale è che l’utente in realtà non è quasi mai in grado di entrare nel merito della qualità dell’infrastruttura del fornitore, o peggio ancora di un suo provider, non tanto da poter verificare il livello di servizio su una funzionalità così poco misurabile (robustezza e capacità di non perdere i dati in caso di guasto). Non mi riferisco quindi a funzionalità il cui livello di servizio l’utente può più o meno verificare, come i tempi di risposta, l’uptime (anche qui, salvo catastrofi) o la qualità del supporto: mi riferisco a funzionalità che l’utente rischia di vedere “one shot”, ovvero quell’unica volta che dovrebbero funzionare e non funzionano. In questi casi, di fatto l’utente sta affidando la continuità del servizio in cloud completamente alle parole del commerciale del fornitore che gli ha fornito il servizio.

Quindi, il cliente dovrebbe valutare, in funzione della criticità del proprio servizio e non delle rassicurazioni del cloud provider, se sia necessario mantenere una copia (possibilmente portabile) dei propri dati presso un altro fornitore, in funzione di un Recovery Point Objective adeguato per quel servizio.

Un pensiero a margine: di quei cento milioni ai quali è stato copiato il numero di carta di credito su PSN, quanti torneranno a dare a Sony il proprio numero di carta di credito, nonappena il problema sarà sistemato? Io scommetto sui novanta milioni… tolgo solo i dieci milioni che nel frattempo saranno passati a Xbox, e quindi non si porranno più il problema Questa mia visione pessimistica è confermata da diversi episodi che ho visto in passato, e la dice lunga sulla cultura di sicurezza informatica dei consumatori.

Ma la cosa non finisce qui: da allora Sony ha subito attacchi ancora e ancora, come se un vaso di Pandora fosse stato aperto e i venti si fossero scatenati contro quell’azienda. E qui si parla di attacchi che portano via il codice sorgente, altro che rete di gioco online, e questo a quasi due mesi dal primo attacco a PSN. Tutto questo non dà l’idea di un bug tipo SQL injection che permette di accedere ai dati delle carte di credito: per quanto non ci siano molte informazioni pubbliche, mi sembra chiaro che il problema è molto più profondo. L’immagine che offre Sony è quella di un’azienda che ha sbagliato qualcosa di fondamentale nella propria gestione della sicurezza, e di un’infrastruttura informatica che crolla…

E parlando di infrastrutture informatiche che crollano, non posso non pensare alle recenti vicende di Poste Italiane. Devo dire che Poste è una di quelle poche grandi aziende italiane  in cui “hanno lavorato un po’ tutti”, come in Telecom, e un po’ tutti hanno idea di come funziona, quindi chi lavora nel settore ne sente parlare spesso. Io credo di essere fra i pochi che non ci hanno mai lavorato (che mi ricordi), e quindi eviterò di esprimere opinioni sulle cause tecniche o organizzative del guasto. Oltretutto, ne hanno già parlato in troppi, principalmente a vanvera, soprattutto chi non ha mai visto realmente un sistema informatico di quelle dimensioni.

Vorrei invece vedere per un attimo la vicenda dal lato di chi gestisce il sistema e si trova davanti un problema del genere. È uno degli incubi peggiori: c’è un sistema che sta (più o meno) funzionando, modifichi qualcosa e tutto smette di funzionare; non c’è modo di tornare alla versione precedente (tipica soluzione dell’informatico, insieme al “riavviare” ), e intanto l’azienda è ferma. Con tutti gli errori che possono essere stati fatti, non posso che provare un attimo di solidarietà per chi ci si è trovato in mezzo… solo un attimo

Ma quello che mi interessa far notare è come questo caso abbia messo di nuovo in evidenza il ruolo critico dei sistemi informativi in qualsiasi grande azienda od organizzazione moderna. Quando si fermano, si ferma tutto, e non è un “difetto” dovuto all’eccessiva informatizzazione, è semplicemente che il sistema informatico è diventato un’infrastruttura fondamentale come l’energia elettrica: come per l’energia elettrica, se manca si ferma tutto, ma come per l’energia elettrica, quando c’è permette di fare molto di più con meno sforzo. Anche non volendone riconoscere le potenzialità in termini di competitività, questo ruolo critico dell’informatica porterebbe come conseguenza che si debba fare molta attenzione ad investire bene in questo settore. Bene vuole dire qualità, e la qualità costa. Invece, in questi anni si è vista una riduzione costante e generalizzata degli investimenti e quindi, banalmente, della qualità. “Oh, prima il mio responsabile dei sistemi informativi mi chiedeva un sacco di soldi, adesso gliene do un terzo e fa lo stesso lavoro di prima: non sono bravo?” No, tu non sei bravo, e lui non sta facendo lo stesso lavoro. Proviamo a riportare lo stesso concetto a un qualsiasi altro contesto: ad esempio, supponiamo che una compagnia aerea riduca di un terzo gli investimenti per la manutenzione degli aerei: pensereste che sia il risultato di una buona gestione, o solo un disastro in attesa di verificarsi? E se lo stesso venisse fatto sui costi di una centrale elettrica? O sui costi di un’industria alimentare? O anche, se vi dicessero che “in qualche modo” un ospedale ha tagliato i costi dell’elettricità di due terzi? Bene, in tutti i settori in questi anni è stato fatto così sui costi dell’informatica. E non mi riferisco a tagli rispetto alle tariffe professionali folli della fine anni ’90 o primi anni 2000, mi riferisco ai costi di quattro o cinque anni fa, già abbondantemente (e giustamente, allora sì) ridimensionati rispetto agli anni precedenti. Cito uno degli articoli che ho visto citare maggiormente in questo periodo: la data è di febbraio, quindi in tempi non sospetti: “A problemi annosi, come i ritardi dei pagamenti nella Pubblica amministrazione, se n’è aggiunto recentemente uno tutto nuovo: la tendenza degli enti pubblici a comprimere oltre misura i prezzi, sfruttando la fame di commesse da parte delle aziende dell’Information techonology, messe a dura prova dalla crisi economica.“. Messe a dura prova perché l’informatica vive particolarmente di investimenti e innovazione, e di innovazione da queste parti se ne vede poca. L’articolo parla in realtà principalmente di Poste Italiane, e dubito che le ragioni per fare gare al ribasso di Poste siano le stesse di una vera P.A., (come minimo perché a quello che leggo nel 2010 Poste ha avuto un utile di 1 miliardo), ma lo stesso ragionamento vale in tutti i settori, anche non pubblici. Bene, per come la vedo io risparmiare sull’informatica è un po’ come risparmiare sulla manutenzione delle strade o degli argini dei fiumi: sul breve termine sembra una scelta di poco impatto e che crea meno problemi che tagliare su costi più “visibili”, ma oltre un certo limite prima o poi le cose crollano. Per fortuna, il crollo dell’informatica generalmente non ha gli stessi effetti disastrosi del crollo di un argine, ma di blocchi, malfunzionamenti e progetti che partono e poi devono essere rinviati di un anno (indovina?) ne vedremo molti, sia nella P.A. che fuori.

Morale? Pensando ai temi di questi giorni mi chiedo, è possibile che l’unica soluzione alle inefficienze della pubblica amministrazione sia toglierle competenze? È possibile che una procedura perfettamente funzionante venga bloccata perché letteralmente l’ultima ruota del carro non sa come completarla? Tutto quello che era stato investito nel migliorare il servizio al cittadino, nel dargli l’idea e la sostanza di uno Stato più efficiente, nel liberare risorse dell’ente per fare un lavoro più utile (e immagino anche più interessante) sono state sprecate perché… perché? Quella persona non era stata istruita? Era stata istruita ma si è sentita legittimata a rifiutare di adottare la nuova procedura? Era stata messa lì per caso? Aveva un odio luddistico per il computer (cosa che mi capita di sentire: “il computer rovina i rapporti umani”, come se far imbestialire le persone in coda fosse un modo per mantenere rapporti umani)…

Quale che sia la causa, una cosa è certa: quella è una pratica che non può essere esternalizzata o “privatizzata”, e quindi prima o poi bisognerà smettere di pensare che la PA non funziona e che quindi basta toglierle competenze, bisognerà ragionare sul perché non funziona (al di là dei facili luoghi comuni) e pensare a come farla funzionare meglio. Piccolo indizio: l’ente non si accorgerà mai che c’è stato questo piccolo fallimento, sempre che gli interessi (sul sito web non c’è nemmeno un modulo per il feedback, non sia mai che sia negativo…), né in tempi brevi cambierà lo stato del mio sportellista, che fosse per mancata formazione o per luddismo.

Ora vi lascio: devo andare a spedire da un’altra parte il modulo così faticosamente ottenuto: in originale cartaceo con tutti i timbri, e con raccomandata R/R… all’ufficio postale: mi viene la gastrite solo a pensarci…

Aggiornamento: indovinate com’era l’ufficio postale, dopo i problemi di questi giorni?