Quando si parla di tecnologia — compresa la sicurezza — spesso costa di più risolvere un problema in un secondo momento piuttosto che affrontarlo tempestivamente. Rimandare gli inevitabili miglioramenti necessari per correggere un software difettoso o una tecnologia obsoleta è come «prendere in prestito del denaro pensando di non doverlo mai restituire», afferma il programmatore Ward Cunningham, che ha sviluppato il primo wiki.
Cunningham ha coniato il termine “debito tecnico” () più di un decennio fa per descrivere come il lancio affrettato di una tecnologia difettosa funzioni in modo simile all’accumulo degli interessi su un debito. Se non si riduce il capitale, gli interessi si accumulano fino al punto da assorbire l’intero budget e rendere impossibile il rimborso .
Se chiedete a una dozzina di professionisti del settore tecnologico di definire il debito tecnico, otterrete una dozzina di risposte diverse. Per gli sviluppatori di software, il debito tecnico significa probabilmente qualcosa del tipo “prendere delle scorciatoie per rilasciare il codice”. Un CIO, d’altra parte, potrebbe considerare il debito tecnico come l’effetto cumulativo di strumenti obsoleti che ostacola la capacità di un’organizzazione di fornire funzionalità digitali moderne e innovazioni ai propri dipendenti, partner e clienti.
In entrambi i casi, l’accumulo di attività tecniche non affrontate, necessarie per il successo futuro, comporta un aumento dei costi e della complessità nel lungo periodo. Il risultato finale: il personale IT mette a punto sempre più soluzioni provvisorie per risolvere ciò che avrebbe dovuto risolvere già in precedenza.
«Considero il debito tecnico come qualcosa che deriva dalla necessità di prendere decisioni volte a soddisfare obiettivi a breve termine, ma che generano passività a lungo termine», afferma Fernando Montenegro, analista principale per la sicurezza presso 451 Research, una divisione di S&P Global Market Intelligence.
A prescindere dalla definizione, il debito tecnico sta aumentando. Quando McKinsey ha condotto un’indagine su 50 CIO di 2020, la società di consulenza gestionale ha rilevato che tra il 10% e il 20% del budget tecnologico destinato ai nuovi prodotti veniva invece utilizzato per ridurre il debito tecnologico. Infatti, il debito tecnologico rappresentava dal 20% al 40% degli investimenti tecnologici correnti di un’organizzazione al lordo dell’ammortamento. Al momento del sondaggio, il 60% dei CIO ha dichiarato che il proprio debito tecnico era aumentato notevolmente negli ultimi tre anni.
Rendere prioritario il debito tecnico di sicurezza
Jonathan Feldman non è interessato ad accumulare un debito tecnico eccessivo. In qualità di CIO della città di Asheville, nella Carolina del Nord, Feldman si è impegnato a fondo per garantire che i sistemi tecnologici della sua città rimangano sempre aggiornati. Ad esempio, ha progressivamente trasferito i sistemi informativi di Asheville dal software on-premise al cloud di .
«Il debito tecnico deriva dalla necessità di prendere decisioni che soddisfano obiettivi a breve termine ma generano passività a lungo termine.»Fernando Montenegro, analista di sicurezza, 451 Research
Sebbene la modernizzazione dell’ambiente IT comporti spesso l’adozione di software cloud, essa implica anche la creazione di uno stack tecnologico composto da linguaggi di programmazione, framework e strumenti di sviluppo in grado di integrare rapidamente nuove funzionalità e di adattarsi alle mutevoli esigenze aziendali. A titolo di esempio, Feldman sottolinea come i sistemi software basati sul cloud e sul modello SaaS abbiano aiutato la città di Asheville a passare rapidamente al lavoro da remoto durante la pandemia.
«Non abbiamo dovuto perdere tempo con le VPN di tipo “ ” né con l’installazione di software sui dispositivi degli utenti», afferma Feldman. «»Conosco alcuni comuni che hanno dovuto spendere centinaia di migliaia di dollari per potenziare il proprio concentratore VPN al fine di soddisfare le esigenze di tutti i propri lavoratori da remoto. Chi, nel settore della sicurezza, ritiene che la VPN lato client sia oggi la soluzione più adeguata in materia di sicurezza? «Proprio nessuno.»
Sono molteplici le ragioni che spiegano perché le aziende accumulino debito tecnico, tra cui la gestione di un numero eccessivo di piattaforme di sviluppo e la presenza di infrastrutture obsolete e di vecchia generazione. L’assunzione e il mantenimento di personale tecnico qualificato aggravano l’onere, così come la miopia derivante dalla mancata previsione nel bilancio delle spese di manutenzione dei sistemi e del software per l’intero ciclo di vita degli stessi.
In che modo il debito tecnico si trasforma in debito tecnico sicurezza debito
Una delle ragioni principali del debito tecnico legato alla sicurezza è la dicotomia esistente tra il modo in cui i professionisti della sicurezza e gli altri professionisti del settore tecnologico percepiscono la tecnologia. «Gli esperti di sicurezza informatica tendono ad affrontare i problemi dal punto di vista di come potrebbero violare un sistema», afferma Nick Selby, CSO di Paxos, una piattaforma di infrastrutture blockchain, e co-conduttore del podcast “ : Tech Debt Burndown” . «Analizziamo ciò che un aggressore vede dall’esterno verso l’interno e cerchiamo di individuare i punti vulnerabili che devono essere messi in sicurezza.»
Al contrario, gli sviluppatori moderni intendono dare priorità agli sforzi “dall’interno verso l’esterno”, afferma Selby. Chiedono cosa stanno cercando di realizzare, cosa non riescono a realizzare, come distribuire il codice più rapidamente e quali ostacoli si frappongono al loro percorso.
Feldman osserva che una tecnologia risalente a un decennio fa presenta probabilmente standard di crittografia obsoleti, API antiquate e un livello di rigidità maggiore rispetto alle applicazioni odierne, più flessibili. «Sarà semplicemente una seccatura garantire la sicurezza per la maggior parte del tempo», afferma.
Il debito tecnico in materia di sicurezza amplifica le vulnerabilità latenti che rendono più difficile proteggere le applicazioni, le infrastrutture e gli endpoint obsoleti. «Non mi viene in mente alcun esempio di debito tecnico che non incida sulla sicurezza, in quanto il debito tecnico influisce quasi sempre sulla produttività, sulla scalabilità, sulla resilienza e sul tempo di attività», afferma Selby.
I costi del debito tecnico sono spesso difficili da individuare. Forse si riscontrano in sistemi obsoleti di difficile manutenzione, oppure in codice datato che non soddisfa le esigenze attuali ma la cui sostituzione risulterebbe troppo onerosa, oppure ancora in dati archiviati in silos che non possono essere analizzati e valorizzati. I team addetti alla sicurezza potrebbero rendersi conto di avere capacità limitate nel garantire in modo sicuro la riservatezza, l’integrità e la disponibilità dei sistemi e delle informazioni.
Considerando che ogni impresa presenta un debito tecnologico e che tale debito ha un impatto sostanziale sulla sicurezza, cosa può fare un dirigente? Gli esperti di sicurezza raccomandano di ridurre il debito tecnico di sicurezza a un livello gestibile:
Coinvolgete tempestivamente i team di sicurezza
Essere un “ ” coinvolto sin dalle prime fasi potrebbe significare partecipare allo sviluppo di un nuovo sistema o di una nuova applicazione durante la fase di progettazione, oppure quando l’aggiunta di nuove funzionalità o l’introduzione di modifiche potrebbero incidere sul livello di rischio di un’azienda.
«Per i professionisti della sicurezza, prima riceviamo il documento di progettazione, meglio è», afferma Selby di Paxos. Egli raccomanda di integrare i tecnici della sicurezza nei team di ingegneri, in modo che possano lavorare insieme sin dal primo giorno. «Non [è stata] effettuata alcuna chiamata al personale di sicurezza più avanti lungo la linea per controllare la situazione e assicurarsi che fosse tutto a posto», afferma. «Il team di sicurezza era già sul posto e ha garantito la sicurezza fin dall’inizio.»
Dare priorità al rimborso dei debiti
Il debito tecnico varia da un’azienda all’altra, così come variano le modalità ottimali per ridurlo. Talvolta il debito tecnico in materia di sicurezza può manifestarsi sotto forma di piattaforme aziendali obsolete che richiedono un notevole sforzo aggiuntivo per garantirne la sicurezza. Altre volte, un’azienda potrebbe aver implementato troppi strumenti di sicurezza senza disporre di professionisti sufficientemente qualificati per gestirli.
[Leggi anche: Sicurezza informatica federale: troppe soluzioni compromettono il risultato]
«Molti aspetti che hanno un forte impatto sulla sicurezza potrebbero non sembrare direttamente correlati alla sicurezza stessa», afferma Selby. «Spesso sono proprio i lavori di base a costituire il debito tecnico, come l’aggiornamento delle attrezzature o l’acquisto degli strumenti adeguati per svolgere il lavoro. «Molti di questi aspetti tendono ad avere un impatto complessivo maggiore sulla sicurezza».
Effettuate pagamenti regolari del debito
Non importa quanto sia grande o matura un’organizzazione. Tutte le organizzazioni accumulano debito tecnico nel corso del tempo. L’importante è stabilire un periodo di tempo specifico per il rimborso del debito esistente. «Se siete un’azienda con una base tecnologica di qualsiasi tipo, è proprio così che stanno le cose», afferma Selby.
Modernizzare l'ambiente
La modernizzazione non consiste semplicemente nel dotarsi delle tecnologie più recenti e avanzate solo per il gusto di farlo. Si tratta di disporre di uno stack tecnologico aziendale sufficientemente agile da crescere e adattarsi man mano che le esigenze della vostra azienda cambiano.
“Chi, nel settore della sicurezza, ritiene che la VPN lato client sia la soluzione più adeguata al giorno d’oggi? Proprio nessuno.”Jonathan Feldman, responsabile informatico (CIO) della città di Asheville, Carolina del Nord
Quando le organizzazioni non si modernizzano, il CIO potrebbe trovarsi nella necessità di comunicare a un’unità aziendale che la società non è in grado di effettuare un investimento ingente per attivare una nuova funzionalità, afferma Feldman di Asheville. «Mentre con una piattaforma moderna, probabilmente basterebbe semplicemente premere un pulsante.»
Organizzare gli investimenti in tecnologia nel corso del tempo
Molte richieste di bilancio prendono in considerazione solo i costi iniziali del sistema e dell’implementazione, senza considerare come si accumuli il debito tecnico nel corso del tempo. «Non è che abbiamo bisogno di 5 milioni di dollari e che, una volta ottenuto questo finanziamento, l’investimento di capitale sia concluso», afferma Feldman. «Ciò che occorre è un impegno da parte dell’organizzazione a destinare ogni trimestre un determinato importo per l’intero ciclo di vita dell’applicazione.»
Montenegro di 451 Research aggiunge: «Siete responsabili per sempre di ciò che avete implementato». “Le organizzazioni devono disporre delle risorse necessarie per garantire che la loro pianificazione non solo affronti il problema del debito, ma eviti anche di incorrere in un indebitamento eccessivo a causa di una gestione inadeguata dei sistemi nel corso del loro ciclo di vita.”
[Legga anche: In che modo DevOps e sicurezza possono collaborare]
In definitiva, le organizzazioni potrebbero decidere di ridurre il debito tecnico, ma tale decisione potrebbe non rientrare nelle competenze dei team di sicurezza e dei dirigenti. Montenegro raccomanda ai responsabili di alto livello della sicurezza di informare la direzione generale IT dell’azienda che, quando le organizzazioni si assumono determinati tipi di debito tecnico, ciò può avere gravi conseguenze sul loro profilo di rischio.
«Non riceverete certo biglietti di auguri natalizi da un team costretto a ritardare il lancio dei prodotti a causa di falle nella sicurezza», afferma. «Ma l’organizzazione deve compiere una scelta importante.»