Gestire e monitorare servizi nel cloud pubblico

c3: Pianificare, implementare e documentare la sicurezza e la protezione dei dati per soluzioni ICT

Gli informatici e le informatiche pianificano misure relative alla sicurezza e alla protezione dei dati, le implementano e le documentano: identificano dapprima i dati sensibili e li categorizzano. Modellano poi i dati sensibili secondo il principio di Privacy by design. Chiariscono i meccanismi di protezione necessari secondo la sensibilità dei dati e li qualificano. In questo contesto, tengono conto del quadro legale (RGPD tra gli altri) e lo applicano in funzione della situazione. Su questa base, elaborano un concetto di sicurezza dei dati e di ruoli conformemente al mandato, lo documentano e lo attuano (p. es. creare un backup, implementare le autorizzazioni di accesso, cifrare i dati).

d1: Raccogliere, standardizzare e automatizzare i processi ICT

Gli informatici e le informatiche raccolgono i processi ICT (p. es. gestione degli utenti, provisioning di servizi, analisi dei log), li standardizzano e li automatizzano. Migliorano in tal modo l’efficienza e la qualità dei processi ICT implementati: raccolgono dapprima le esigenze degli stakeholder in termini di processi aziendali e/o specifici all’azienda. Questa tappa può svolgersi nell’ambito di un colloquio di consulenza (a1). Dalle esigenze identificate, deducono una proposta di soluzione tecnica e la annotano tenendo particolarmente conto delle specificità dell’azienda interessata così come delle norme e degli standard (p. es. BPMN, strumenti di orchestrazione, strumenti di pianificazione, OS builds). Implementano poi la soluzione. Eseguono progressivamente l’automatizzazione dei processi definiti. A tal fine, utilizzano linguaggi di script, l’infrastruttura in quanto codice (IaC) e strumenti di orchestrazione adatti al contesto aziendale.

d3: Preparare la piattaforma di esecuzione delle soluzioni ICT

Gli informatici e le informatiche preparano la piattaforma di esecuzione delle soluzioni ICT: mettono a disposizione la piattaforma di esecuzione definitiva (d2), (p. es. catena continua di strumenti di consegna [Continuous Delivery Toolchain], piattaforma di virtualizzazione). In questo modo, intrattengono scambi stretti e proattivi con i partecipanti al progetto interessati. Configurano inoltre la piattaforma conformemente alle esigenze pianificate. Documentano in modo comprensibile le tappe e le configurazioni realizzate. Infine, verificano se la piattaforma messa a punto può essere accettata.

d4: Mettere in servizio le soluzioni ICT

Gli informatici e le informatiche mettono in servizio le soluzioni ICT conformemente alle esigenze definite. Si assicurano in tal modo che la soluzione consegnata al committente sia ottimale: a seconda del progetto, chiedono le autorizzazioni e i diritti di accesso richiesti per la messa in servizio. Se necessario, coordinano gli adattamenti da intraprendere sui sistemi periferici. Realizzano poi la messa in servizio (p. es. esecuzione di script di deployment, deployment). Intrattengono contatti regolari con gli stakeholder e li informano sullo stato di avanzamento della messa in servizio. Testano la soluzione secondo il concetto di test (d2). Infine, verificano la soluzione riguardo ai rischi di sicurezza. Consegnano la soluzione ICT al committente. Se necessario, dispensano una formazione o redigono una documentazione (cfr. a7).

f1: Pianificare e documentare i sistemi server e i loro servizi

Gli informatici e le informatiche pianificano e documentano i sistemi server e i loro servizi per i committenti più diversi (dalla microimpresa alle grandi società), redigono le documentazioni necessarie e ne assicurano il seguito. Forniscono in tal modo basi comprensibili per l’allestimento e la gestione dei servizi: raccolgono dapprima presso gli stakeholder interessati (p. es. committente, divisione interna, fabbricante) le esigenze in termini di funzioni richieste e chiariscono il budget previsto (→a1). A partire dalle esigenze identificate, elaborano una prima proposta o varianti di soluzione per i sistemi server e/o i servizi possibili (p. es. servizi web, basi di dati, servizi di archiviazione di dati, analitica dei dati). A seconda della situazione, tengono conto delle specificità dell’azienda, delle norme/standard tecnici e/o delle prescrizioni legali e della protezione informatica di base. Consigliano gli stakeholder, chiariscono le loro domande e sostengono la loro presa di decisione con confronti argomentati delle varianti proposte.

f2: Mettere in servizio i sistemi server

Gli informatici e le informatiche mettono in servizio i sistemi server pianificati (per sistemi server si intendono l’hardware, le macchine virtuali o i container interni o basati cloud): una volta che la decisione di attuazione del sistema server è definitivamente presa, si procurano i componenti e/o le risorse necessarie (p. es. personale, materiale, infrastruttura, licenze, servizi cloud). Mettono poi in servizio i componenti e/o i servizi installandoli e configurandoli conformemente alle esigenze. A tal fine, procedono conformemente alla pianificazione stabilita e tengono conto delle esigenze interne, delle direttive e delle best practice. Verificano il sistema server eseguendo i test pianificati (→f1) e documentano i risultati. Se tutto è conforme, trasferiscono il sistema nell’ambiente produttivo e consegnano la documentazione al committente.

f3: Mettere in servizio i servizi del server

Gli informatici e le informatiche mettono in servizio i servizi del server pianificati (che possono p. es. essere un DNS, un server web, una base di dati, un JRE, una piattaforma collaborativa, un gateway IoT, un bus di messaggeria, l’analitica Big Data): una volta che la decisione di attuazione dei servizi del server è definitivamente presa, si procurano le risorse necessarie (p. es. personale, licenze, servizi cloud). In un’ulteriore tappa, mettono in servizio i servizi del server installandoli e configurandoli in funzione delle esigenze. A tal fine, procedono conformemente alla pianificazione stabilita e tengono conto delle esigenze interne, delle direttive e delle best practice. Verificano il servizio eseguendo i test pianificati (→f1) e lo trasferiscono nell’ambiente produttivo. Infine, aggiornano il manuale d’uso e lo trasmettono al committente.

f4: Mantenere e amministrare i sistemi server e i loro servizi

Gli informatici e le informatiche mantengono e amministrano i sistemi server e i loro servizi. Garantiscono in tal modo la loro gestione produttiva continua: a seconda delle esigenze del sistema o del servizio, definiscono dapprima i compiti di manutenzione e il loro ciclo (giornaliero, settimanale, mensile, in caso di eventi particolari, secondo gli accordi di livello di servizio). Eseguono in modo affidabile i compiti di manutenzione agli intervalli definiti e li documentano. Se sono necessari aggiornamenti (p. es. upgrade, correttivi, firmware), li testano e li installano nell’ambiente produttivo. Testano inoltre il funzionamento, la performance e la sicurezza dei sistemi e dei servizi a intervalli regolari. Se vengono apportate modifiche ai sistemi, le documentano in modo chiaro. Adottano un approccio rigoroso e fanno in modo che ogni intervento sui sistemi o servizi sia in qualsiasi momento tracciabile e comprensibile.

f5: Sorvegliare i sistemi server e i loro servizi

Gli informatici e le informatiche sorvegliano i sistemi server e i loro servizi. Rilevano in tal modo i problemi per tempo e possono ridurre i rischi di guasto: definiscono dapprima con gli stakeholder interessati quali sistemi server e servizi devono essere sorvegliati. Determinano poi i metodi di sorveglianza appropriati (script, software, messaggi, ecc.). Stabiliscono i valori limite e le azioni da intraprendere in caso di mancato raggiungimento o di superamento di tali valori. Al riguardo, valutano i rischi rispettivi basandosi sulle loro esperienze e secondo le esigenze del committente o gli accordi di livello di servizio (SLA). Una volta che la sorveglianza è operativa, verificano con l’aiuto di test periodici se il sistema di sorveglianza funziona in modo affidabile. Documentano i risultati in modo chiaro e comprensibile. In caso di messaggi di errore o di avvisi, intervengono rapidamente e attivano le misure adeguate.

f6: Implementare, documentare e verificare la sicurezza dei sistemi server e dei loro servizi

Gli informatici e le informatiche implementano, documentano e verificano la sicurezza dei sistemi server e dei loro servizi: in un primo tempo, elaborano un concetto di sicurezza conforme alle esigenze degli stakeholder. Tale concetto descrive i rischi possibili e i sistemi/metodi di sicurezza appropriati per garantire una protezione informatica di base (p. es. firewall, software antivirus, autorizzazioni, autenticazione unica [SSO]). A tal fine, lavorano in squadra e fanno appello, se necessario, a partner. Applicano le best practice alle soluzioni utilizzate. Configurano gli elementi di sicurezza definiti e ne testano l’efficacia. A intervalli regolari, effettuano test di sicurezza durante il funzionamento e documentano i risultati in modo comprensibile. Si informano regolarmente sugli sviluppi tecnologici dei sistemi di sicurezza (p. es. MELANI, CVE) e adattano i loro concetti.

f7: Pianificare e attuare la disponibilità dei sistemi server e dei loro servizi

Gli informatici e le informatiche pianificano e attuano la disponibilità dei sistemi server e dei loro servizi. Applicano le misure adeguate per prevenire la perdita di dati e rispettare i tempi di interruzione secondo le direttive: durante i colloqui con gli stakeholder, determinano dapprima la perdita massima di dati ammissibile (Recovery Point Objective), la durata massima di interruzione tollerabile dei sistemi server e dei loro servizi (Recovery Time Objective) nonché le durate di conservazione dei dati (ritenzione dei backup). Annotano i risultati in una documentazione. Verificano poi i sistemi e i servizi attuali in relazione alla loro natura o agli accordi di livello di servizio (SLA) e rilevano i punti in cui la disponibilità non è ancora assicurata. Su questa base, pianificano e attuano le misure correttive necessarie (p. es. clustering, ridondanza, replicazione).

f8: Stabilire e attuare concetti di backup e archiviazione dei dati

Gli informatici e le informatiche stabiliscono e attuano concetti di backup e archiviazione dei dati. Garantiscono in tal modo la disponibilità a lungo termine dei dati: in concertazione con gli stakeholder, definiscono i dati (p. es. dati utenti, di configurazione, di sistema, di registrazione) da salvaguardare e archiviare. Stabiliscono poi un concetto di backup (concetti di ripresa e di ripresa dopo sinistro inclusi) e/o un concetto di archiviazione. Adottano un approccio globale: tengono conto del ciclo di backup, delle durate di conservazione dei dati e delle esigenze di conformità. Definiscono altri aspetti determinanti quali periodicità, dimensione, tipo di media, autorizzazioni e accessi. Rispettano inoltre le prescrizioni legali applicabili alla protezione dei dati (p. es. RGPD).

e1: Pianificare e documentare le reti

Gli informatici e le informatiche pianificano nuove reti IP per i committenti più diversi (dalla microimpresa alle grandi società), redigono le documentazioni necessarie e ne assicurano il seguito. Forniscono così basi comprensibili per l’allestimento e la gestione delle reti: raccolgono dapprima le esigenze (p. es. disponibilità, sicurezza) (a1) presso gli stakeholder interessati (p. es. committente, divisione interna, fabbricante). A partire dalle esigenze identificate, elaborano una prima proposta o varianti di soluzione. A seconda della situazione, tengono conto delle specificità dell’azienda, degli standard/norme tecnici e/o delle prescrizioni legali. Annotano la loro proposta. Procedono poi al design dettagliato: concepiscono l’infrastruttura di rete appropriata (LAN) tenendo conto delle condizioni spaziali e di altre direttive (p. es. larghezza di

e2: Selezionare e mettere in servizio i componenti della rete

Sulla base della pianificazione della rete realizzata in (e1), gli informatici e le informatiche selezionano i componenti della rete appropriati e li mettono in servizio: effettuano dapprima una ricerca al fine di definire i componenti della rete appropriati. Stabiliscono una lista di materiale completa secondo il processo di ordine interno e il budget assegnato. Al ricevimento dell’ordine, verificano che la totalità dei componenti della rete sia stata effettivamente consegnata. Di regola, stabiliscono un concetto di configurazione. Successivamente, mettono in servizio i componenti della rete. Il più delle volte, installano dapprima internamente i componenti della rete e procedono a preconfigurazioni e ad aggiornamenti prima di eseguire un primo controllo del funzionamento. Installano poi i componenti della rete dal cliente. Eseguono una configurazione finale e testano la capacità di funzionamento della rete secondo il concetto stabilito.

e3: Mantenere e sviluppare le reti

Gli informatici e le informatiche mantengono le reti nell’ambito di contratti di manutenzione e, se necessario, ne proseguono lo sviluppo (miglioramento continuo dei servizi): negli intervalli di manutenzione definiti, eseguono in loco controlli visivi dei componenti della rete e decidono se devono essere prese misure (p. es. depolverizzazione). Controllano la registrazione dei componenti della rete (p. es. variazioni di temperatura, tassi di flusso, tassi di performance, carico della rete, messaggi di errore). Se necessario, prendono misure per sviluppare la rete a corto o lungo termine (p. es. componenti supplementari, rielaborazione della rete, adattamento della configurazione, correttivi e aggiornamenti).

e4: Implementare, documentare e verificare la sicurezza delle reti

Gli informatici e le informatiche implementano, documentano e verificano la sicurezza delle reti. Garantiscono in tal modo che i sistemi critici siano protetti in modo appropriato contro gli attacchi o le infezioni: analizzano dapprima i potenziali rischi in materia di sicurezza della rete e li valutano. A tal fine, utilizzano strumenti attuali e specifici alla gestione (p. es. scanner di porte). Su questa base, concepiscono le misure di sicurezza fisiche e sistemiche nella rete locale (e1). Attuano le misure di sicurezza pianificate implementando servizi e componenti di sicurezza (p. es. firewall, VPN, NAT, VLAN, DMZ). Infine, testano le misure di sicurezza in modo sistematico e ne documentano il funzionamento.

e5: Analizzare, ottimizzare e documentare la performance di una rete

Gli informatici e le informatiche analizzano, ottimizzano e documentano la performance di una rete. Queste tappe si svolgono tipicamente durante il funzionamento, per cicli regolari, o in caso di segnalazione di problemi (p. es. monitoraggio, messaggi degli utenti): dopo la presa di contatto e la descrizione del problema (p. es. l’avvio di un’applicazione è lento) da parte di uno stakeholder, chiariscono dapprima le cause possibili. Analizzano il carico della rete (LAN) e definiscono poi varianti di soluzione (p. es. ripartizione del carico, qualità del servizio [QoS], PoE). In questo modo, tengono conto di diversi fattori, p. es. le ripercussioni del cablaggio sulla performance. Documentano la soluzione scelta e adattano la configurazione dei componenti corrispondenti (p. es. switch, router, access point).

e6: Sorvegliare le reti

Gli informatici e le informatiche sorvegliano le reti in continuo. Garantiscono in tal modo un funzionamento ininterrotto della rete e identificano in tempo i problemi, le disfunzioni e le possibilità di miglioramento: con l’aiuto di diversi strumenti di monitoraggio, sorvegliano le reti in continuo, sia per la loro azienda sia per clienti nell’ambito di accordi di livello di servizio (SLA). Verificano in particolare la disponibilità e la capacità di funzionamento dei componenti della rete. Sorvegliano inoltre il carico della rete (p. es. performance dei componenti e delle linee di trasmissione). Valutano il livello di urgenza dei messaggi/avvisi entranti e prendono per tempo le misure appropriate (trouble shooting). Circoscrivono l’errore al livello dei componenti. Procedono in modo strutturato e con tenacia finché identificano l’errore. Infine, organizzano la procedura di soppressione di l’errore in collaborazione con gli stakeholder interessati e documentano l’incidente per tracciabilità.

h4: Sorvegliare le applicazioni e le interfacce e risolvere i problemi durante il funzionamento

Gli informatici e le informatiche sorvegliano le applicazioni e le interfacce, prendono misure al fine di mantenere la stabilità e risolvono, se necessario, i problemi che insorgono durante il funzionamento: per la sorveglianza o il monitoraggio di un’applicazione, definiscono dapprima tutto ciò che deve essere registrato (metriche) e configurano i sistemi di conseguenza (profondità di log [log depth], punti di misura). Integrano nell’applicazione misure al fine di rilevare rapidamente gli usi abusivi e le minacce. Effettuano il monitoraggio a intervalli regolari e verificano lo stato dell’applicazione sulla base delle informazioni registrate. Se necessario, procedono a un’analisi, p. es. in caso di messaggio di errore trasmesso dal cliente o dal sistema. Per circoscrivere il problema, riproducono l’errore. In tal modo, adottano un approccio analitico e danno prova di rigore e pazienza. Una volta circoscritto il problema, definiscono le misure correttive, le implementano e verificano che l’applicazione torni a uno stato stabile.