Workshop tenuto dall'Ing.Carlo Daffara, presso la sede dell'Ordine dei Dottori Commercialisti e degli Esperti Contabili di Udine

1. Private Cloud e virtualizzazione
per lo studio
Carlo Daffara

2. Cloud?

3. IT: tecnologia → servizio

4. Il software non viene più pensato come a un
unico oggetto monolitico (troppo costoso da
creare), ma una rete di oggetti attivi.
E’ difficile trovare un unico interlocutore per
l'intero progetto IT → I componenti devono
parlarsi
facilmente
→
Standard
di
comunicazione

5. Il centro della infrastruttura IT diventa
l'applicazione e il suo funzionare “in rete” con
le altre. Se una volta si ragionava per server,
adesso diventa necessario pensare a un
livello più alto, anche grazie alla
virtualizzazione che consente di pensare ai
vecchi server fisici come “applicazioni”.

7. “cloud computing is a model for enabling
ubiquitous, convenient, on-demand network
access to a shared pool of configurable
computing resources (e.g., networks, servers,
storage, applications and services) that can be
rapidly provisioned and released with
minimal management effort or service
provider interaction.” – NIST

8. On-demand self-service: Un utente può
ottenere il provisioning di una risorsa
quale tempo macchina, rete e storage
automaticamente, senza richiedere una
specifica interazione umana con ogni
service provider.

9. Broad network access: Le risorse sono
disponibili tramite la rete e accessibili
attraverso meccanismi standard.

10. Resource Pooling: Le risorse del fornitore di
calcolo sono raggruppate per servire più
consumatori utilizzando un modello multitenant, con diverse risorse fisiche e virtuali
dinamicamente assegnate e riassegnate in
base alla domanda dei consumatori.

11. Rapid elasticity: Le capacità possono essere
attivate e rilasciate in modo elastico e in
alcuni casi automaticamente, per scalare
rapidamente in modo proporzionato alla
richiesta. All’utente le capacità disponibili
spesso sembrano essere illimitate e possono
essere gestite in qualunque momento e in
qualsiasi quantità.

12. Measured service: I sistemi cloud gestiscono
e controllano automaticamente l’uso delle
risorse e la loro allocazione utilizzando un
insieme di metriche e controlli destinati a
ottimizzare
l’efficienza
del
sistema
complessivo e verificare il rispetto delle
soglie di utilizzo e consumo.

28. Sicurezza: mantenimento nel tempo e in
modo stabile delle caratteristiche positive di
una infrastruttura (fisica/logica).
Generalizzata rispetto alla tradizionale
definizione (“tenere lontani i cattivi”, “non
perdere i dati”, “togliere i virus”...)

29. Es. US FISMA: “information security means
protecting information and information
systems from unauthorized access, use,
disclosure, disruption, modification, or
destruction in order to provide integrity,
confidentiality and availability. ”

30. La valutazione del rischio e degli strumenti
di compensazione dipendono da quanto è
probabile il rischio moltiplicato il danno →
Danno Potenziale (DP)
Gli strumenti di compensazione possono
aumentare il rischio → inutile aggiungere
complessità quando il DP è piccolo

31. Il cloud come piattaforma non rimuove i
problemi precedenti. Se una piattaforma
web è insicura, spostarla sul cloud non ne
cambia le proprietà
Viceversa, la aumentata complessità può
aggiungere canali o effetti che riducono la
sicurezza complessiva.

33. Self service: chi ha accesso al servizio? Che
controlli ci sono per verificare le credenziali? Ci
sono dei limiti? Chi li verifica? Chi li impone?
Scalability: il sistema può comprare risorse in
modo autonomo → basta riempire di traffico un
sito per vederlo chiudere/fallire

34. Dare per scontato che le connessioni tra nodi di utenti diversi
siano intercettabili, quindi se i dati sono riservati: cifratura del
disco virtuale, con doppio processo di avvio (prima OS, poi
connessione cifrata e invio password per decrypt)
Legal issues: dove sono i dati? Siamo sicuri che rimangono lì
dove sono stati messi? (...specialmente ora che si e’ scoperto
che la NSA ha una copia di tutto…)

35. “Can Microsoft guarantee that EU-stored data, held in EU
based datacenters, will not leave the European Economic
Area under any circumstances — even under a request by
the Patriot Act?”
“... Frazer explained that, as Microsoft is a U.S.
headquartered company, it has to comply with local laws
(the United States, as well as any other location where one
of its subsidiary companies is based). ...he could not provide
a guarantee that they would be informed [if data is taken]”

36. “American trade officials were accompanied everywhere by
a small team of intelligence officers … Each morning, they
gave Mickey Kantor, the United States trade representative,
and his aides inside information gathered by the Central
Intelligence Agency's Tokyo station and the electronic
eavesdropping equipment of the National Security Agency,
sifted by C.I.A. analysts in Washington.
Mr. Kantor received descriptions of conversations among
Japanese bureaucrats and auto executives from Toyota and
Nissan who were pressing for a settlement” (New York
Times)

40. “the PC-centric/server-centric model has accreted simply
immense complexity … and even when superhuman
engineering and design talent is applied, there are limits to
how much you can apply beautiful veneers before inherent
complexity is destined to bleed through. Complexity kills.
Complexity sucks the life out of users, developers and IT.
Complexity makes products difficult to plan, build, test and
use.
Complexity introduces security challenges.
Complexity causes administrator frustration.”
Ray Ozzie, creatore di Lotus Notes e Chief Software
Architect di Microsoft

47. Separare i dati dalle applicazioni: creare una VM “storage”
che esporta i dati degli utenti → controllo di accesso,
backup centralizzato, snapshots
Isolare le applicazioni in VM separate: un mini-Windows
con una sola applicazione re-istanziata ogni giorno exnovo, il resto bloccato/rimosso → sicurezza per i processi
non controllabili
Sostituire i client “thick” con thin o “light” clients

50. Quando le applicazioni sono “webscale”, i
costi diventano radicalmente diversi rispetto
al software tradizionale.
Stato Italiano: costo ICT complessivo 5578M€
(2011) per 60.6M “utenti”: 92€/utente
Facebook: costo ICT complessivo 1481M€
(2012) per 1B “utenti”: 1.4€/utente (65 volte
di meno)

67. E se riduco il client al solo browser?

71. Grazie!
Carlo Daffara
Twitter: @cdaffara
Linkedin: linkedin.com/in/cdaffara
info@consulpartner.net