Data center: convergenza cyber/fisica sistemica

di Giulio Iucci - VP Federazione ANIE

Il Data Center è un’infrastruttura fisica che ha al suo interno Sistemi IT in grado di elaborare, archiviare e distribuire un enorme numero di dati ad una velocità elevata, fornendo soluzioni e servizi ad aziende e privati. Un ambiente isolato, protetto, continuamente monitorato, all’interno di un building altamente affidabile che garantisce continuità operatività. Un’infrastruttura complessa, con diverse tecnologie avanzate fatte di impianti (meccanici, elettronici ed elettrotecnici), sistemi, reti, hardware e software, tutti completamente ridondati e funzionali tra loro, votati ad un unico obiettivo: la continuità operativa, dove la sicurezza e la resilienza vengono portati ai massimi livelli.

Tale sicurezza ha diverse declinazioni: fisica, logica ed operativa; subisce minacce su più fronti, tramite attacchi di carattere doloso, ma anche derivanti da fattori endogeni ed esogeni, dipendenti da cause naturali, usura degli apparati, mancanza di energia elettrica, refrigerazione, corretti livelli di umidità, mancato rispetto di procedure di lavoro. Alcune di queste minacce possono essere non prevedibili.

Come proteggersi

È necessario, come sempre, intervenire sui tre fattori che garantiscono la sicurezza: Tecnologia, Procedure e Uomini, avendo sotto controllo il contesto (posizionamento geografico e struttura dell’immobile), il bene da proteggere (i dati ed i servizi correlati) e l’offender (che ha diverse “facce”). L’obiettivo è posizionare la curva dell’iso-
rischio sempre prossima allo zero, determinata dai due principali parametri della sicurezza: probabilità che qualcosa accada ed entità del danno. Approfondiamo il significato di “probabilità che qualcosa accada”. 

La probabilità di accadimento

In un DC i fattori che ne determinano il funzionamento e la sicurezza sono molti e lavorano tutti in serie o in parallelo tra loro, con un’architettura complessa e sinergica: sistemi di sicurezza fisica (videosorveglianza, antintrusione, controllo accessi e vigilanza armata); sistemi di safety (rilevazione e spegnimento incendi, evacuazione); sistemi elettrici (cabina e quadri elettrici, UPS, generatori, ecc.); sistemi di refrigerazione (centrali idroniche, chiller, cdz, ecc.); sistemi di controllo dell’aria, della polvere e dell’umidità. Nelle Sale Dati sono installati i sistemi dove alloggiano i calcolatori elettronici, con elaboratori sempre più performanti (grazie all’uso dell’IA), che consumano energia elettrica, scaldano e pesano, impattando sull’infrastruttura (portanza del pavimento ed altezza della sala). Grande attenzione anche al cablaggio delle reti (elettriche e dati) per connettere tutti gli impianti; cavi che percorrono chilometri in tratte ridondate, ma non vicine ed in sovrapposizione tra loro. 

Cyber security e diagnostica 

In un sistema connesso con l’esterno entra in gioco anche il tema fondamentale della sicurezza dei dati, ovvero tutte le architetture, tecnologie e procedure inerenti alla Cyber Security, con un maggiore impatto a seguito delle Direttive NIS2 e CER. Tutti questi impianti speciali, di sicurezza e meccanica sono continuamente monitorati da cruscotti SW, generalmente BMS evoluti, che hanno sotto controllo lo stato di funzionamento di ogni singolo sistema, sottosistema, apparato e connessione, fornendo una diagnostica in tempo reale di tutto ciò che accade ed innescando procedure di comando e controllo, a supporto dell’azione umana, in caso di anomalie; i più sofisticati forniscono analisi predittive.

Ridurre la probabilità di incidente 

Ridurre la probabilità di incidente in un DC, portando la sua operatività, nei migliori casi, al 99,999% è un lavoro complesso, che parte dalla progettazione di tutto il DC, passa per la corretta installazione di ogni sua parte e finisce con le specifiche attività di manutenzione, anche evolutiva ed un aggiornamento tecnologico continuo. Considerando anche che un DC è un sito in continua evoluzione, lavorazione ed espansione con tutte le tematiche legate alla messa in sicurezza di eventuali cantieri interni. La complessità è elevata anche perché dal momento in cui si progetta un DC (con tutte le sue tecnologie), al momento in cui diventa operativo, possono passare 48 mesi e tali tecnologie installate dovranno durare almeno 20 anni, con continui aggiornamenti, tutto ciò in un mondo nel quale molte tecnologie possono diventare obsolete in 24 mesi. Tutto ciò salvaguardando il concetto cardine della sostenibilità in tutte le sue declinazioni: ESG, ma anche economica, ovvero la gestione corretta degli investimenti e del ROI atteso, nei tempi programmati, con un processo di permitting che in Italia impatta significativamente nei tempi realizzativi.

Entità del danno

Valutiamo ora l’“entità del danno”, ovvero del “bene” che proteggiamo. Proteggiamo dati, ma valutiamo concretamente gli impatti che può avere un attacco o un incidente non evitati dai sistemi di sicurezza. Lo sviluppo presente e futuro del business è fortemente connesso con l’uso dei dati, soprattutto con l’impatto dell’IA. Tali dati sono elaborati, conservati e protetti nei DC che ne garantiscono la disponibilità continua ed in tempo reale. In un DC vengono alloggiati e protetti dati, tipicamente nei seguenti settori: Finanziario, E-commerce, Streaming TV, Social, Gaming, Servizi e Informazioni varie, Motori di Ricerca, Telecomunicazioni, ecc. Si può immaginare quale impatto avrebbe sulla nostra vita il default di un DC o sistemico. Si tornerebbe in un attimo indietro di 30 anni, ma con impianti, device, apparati vari, struttura operativa-produttiva e servizi, tarati sul presente: il caos.

In estrema sintesi, un DC realizza il processo di convergenza tra sicurezza fisica e sicurezza logica, ma va oltre: la convergenza è totale e sistemica, con una visione olistica di tutti i processi di sicurezza, dove i rischi che intervengono sul sistema globale sono maggiori della somma dei rischi dei singoli sistemi che lo compongono. In ultima analisi, anche in questo settore, il tema principale è e resta la competenza e la necessità anche di nuove professionalità, con la “certificazione” e “valorizzazione” di entrambe.