La trasformazione digitale comporta un ripensamento del modello architetturale e uno spostamento di ambienti verso datacenter esterni e cloud: il cambiamento porta però in evidenza nuove criticità sul fronte della sicurezza, che vanno affrontate e risolte tenendo conto di un contesto nuovo e di requisiti diversi. Ne parliamo in questa intervista con Angelo D’Andrea, Responsabile ICT Architecture, Security e Systems Management di SEA.
TIG. Quale strategia di trasformazione delle infrastrutture state seguendo verso i nuovi ambienti software defined, ibridi, convergenti, cloud?
Angelo D’Andrea. Durante lo scorso anno siamo riusciti a formalizzare la strategia tecnologica-architetturale relativa alle infrastrutture ICT, contemplando l’impiego di Data Center o cloud provider esterni: il nostro modello tecnologico dovrà infatti svilupparsi ed essere al passo con i tempi nell’erogazione dei servizi, per rispondere alle nuove necessità del business. Ci vengono richiesti scenari più flessibili ed agili, atti a recepire quanto è derivante da nuove iniziative, a cui occorre prestare priorità e attenzione per quanto concerne l’aspetto della continuità operativa e della resilienza dei sistemi. I fermi di lunga durata infatti nel nostro caso possono costituire un problema molto grave relativamente a perdita d’immagine ed economica.
Abbiamo quindi definito un modello ibrido in fase implementativa, dove sistemi e applicazioni sono residenti sia in farm tecnologiche “on premise”, sia in private Data Center e Cloud esterni. Tale scenario futuristico, coerente con la logica di consolidamento, permetterà un maggior accentramento dei servizi ed un minor numero di asset / sistemi gestiti. Tra gli obiettivi da soddisfare vi era infatti anche quello di diminuire gli oneri gestionali di base delle nostre persone che lavorano nell’ICT, al fine di poterle specializzare in attività a più alto valore aggiunto.
TIG. Con quali criteri vi siete mossi nella selezione dei provider?
Angelo D’Andrea. Nel giugno del 2017, in seguito ad opportune valutazioni, abbiamo consolidato una partnership con IBM e quindi adottato spazi dedicati all’interno dei loro Data Center anche di tipo Cloud dislocati in Italia (Lombardia – Bluemix). Ciò sta permettendo la centralizzazione dei servizi, esternati dapprima a più entità di Cloud Provider, con benefici in termini finanziari e di governance. Requisito del tutto mandatorio quello della localizzazione nell’ambito del territorio italiano, per salvaguardare aspetti di rapporto convenzionale ed operativo con il fornitore, poter configurare accessi di rete veloci, più a basso costo e minore latenza, e per ottemperare al meglio ai termini di compliance al GDPR.
TIG. Quali scelte sono state effettuate per il vostro modello di cloud 
ibrido?
Angelo D’Andrea. L’attuale modello ibrido è stato pensato per posizionare servizi e scenari definiti al nostro interno come “no core” (ad esempio, tutto quanto concerne le applicazioni gestionali SAP centriche) presso i Data Center esterni (Private e Cloud). Abbiamo riservato invece tecnologia e potenza elaborativa all’interno delle Farm Interne per le applicazioni “core”, ossia rilevanti per il business verticale (operativo voli), accentuando quindi gli aspetti inerenti la gestione del fault tecnico. Relativamente alle tecnologie adottate recentemente, nell’ambito dell’ammodernamento delle Farm “on premise”, coerentemente con il piano interno di consolidamento e virtualizzazione sono stati adottati sistemi definiti “ingegnerizzati” in quanto ottimizzati nel soddisfare la necessità di performance e controllo automatico della performance.
TIG. Con riferimento alla sicurezza, come cambia con la trasformazione realizzata?
Angelo D’Andrea. Decentralizzare mette in evidenza alcune criticità che normalmente non si hanno con una configurazione del tutto on premise: serve centralizzare il monitoraggio, le operation, gestire performance operative che potrebbero differire. Gli aspetti di sicurezza vanno riportati su perimetri diversi. Con un modello esteso si introduce un po’ di latenza, più interlocutori, ogni entità dovrà avere la sua sicurezza sia fisica sia logica.
Nel nostro caso, così come accennato rispondendo al precedente quesito, è risultato fondamentale adottare una configurazione standard multi-sede (Linate-Malpensa). Impiegando sistemi ingegnerizzati SEA gestisce infatti tre stabilimenti: Linate e i 2 terminal di Malpensa (Terminal 1 e 2) ai quali occorre garantire persistenza dei servizi ICT.
Altro tema inerente la resilienza complessiva è quello di diminuire il numero degli asset fisici in modo da diminuire gli oneri del mantenimento e della protezione. In sostanza, la strategia in adozione è quella di ridurre il numero dei sistemi, con relativo consolidamento delle applicazioni nell’ambito di tecnologie specifiche ad alta performance, contemplando l’adozione di modelli di recovery locale e geografica dei servizi strategici. Non ultimo in termini d’importanza e attenzione quanto si riferisce agli aspetti del disegno e modifica della componente networking, adattata per gli scenari erogati on e off premise.
TIG. Come si risponde oggi, nel caso di un Operatore di Servizi Essenziali, alle minacce che vengono dai nuovi attacchi cyber avanzati?
Angelo D’Andrea. Riteniamo che per ottenere massima attenzione da parte del Management aziendale in generale, ormai abbondantemente sensibilizzato sul tema delle minacce Cyber, sia fondamentale partire da una reale cognizione di causa. Confrontandoci con altri gestori aereoportuali, abbiamo definito un framework per la cybersecurity specifico per il nostro settore (originato da standard come quelli NIST e ISO27001). Partendo dallo stesso framework è stato effettuato un puntuale assessment interno, che aveva come obiettivo quello d’identificare eventuali discostamenti e opzioni di messa a punto prioritari, con riferimento ad aspetti tecnologici, procedurali e di governance degli scenari e minacce classificabili “cyber”. A seguire abbiamo predisposto una roadmap degli interventi (cose da fare) che stiamo per progettare ed implementare, prestando particolare attenzione a particolarità tecnico-organizzative con focalizzazione al perimetro interno all’azienda e non soltanto perimetrale. Tecnologie quindi come: centralizzazione dei log; impiego di tecnologie SIEM con soluzioni di “machine learning” in rete; controllo delle identità con soluzioni IAM/PAM, supportate da entità SOC (Security Operation Center) e da procedure d’incident formalizzate; è quanto ci impegnerà nel prossimo periodo. Concludendo, per le prossime attività di verifica della sicurezza informatica, nell’ambito di un gruppo di lavoro costituitosi, stiamo pensando a simulazioni di attacchi, esercitazioni come quelle realizzate da ENISA, in convenzione con il CNAIPIC.
TIG. Qual è stato nel vostro caso l’impatto del GDPR e cosa vi porterà la nuova Direttiva NIS?
Angelo D’Andrea. Il GDPR sta avendo grande impatto, molte aziende finora avevano considerato solo il minimo indispensabile per la sicurezza dei dati personali. Nel nostro caso, abbiamo riconsiderato tutti i passaggi del caso, e ci siamo dotati di una piattaforma di governance del GDPR integrata con i sistemi interni.
L’adozione di misure deriva oggi per noi dall’analisi dei rischi, e grazie alla piattaforma di automation, nel prossimo periodo abbiamo a piano di adottare soluzioni di data masking-protection per i database individuati (con anonimizzazione e crittografia), scegliendo un approccio cautelativo e di ottemperanza alla norma.
Con riferimento alla Direttiva NIS, considerando la nostra probabile candidatura ad essere nominati OSE (operatore servizi essenziali), bisognerà mettere a punto una strategia di conformità, derivata da quanto si sta già facendo per le tematiche di Cyber e GDPR.
Si dovrà quindi tener conto che tale conformità al NIS potrà essere verificata da opportune sessioni di audit esterno. Ciò significherà che dovremo cooperare proceduralmente al meglio con altri attori a noi collegati, identificando opportuni scenari di attacco con cui confrontarci e sottoponendoci a simulazioni rispetto a questi, verificandone andamenti ed efficacia delle procedure stesse in adozione.
INTERVISTA A:
Angelo D’Andrea,
Responsabile ICT Architecture, Security and Systems Management di SEA.
A cura di:
Elena Vaciago, The Innovation Group
