Foto di Dimitris Vetsikas da Pixabay.

Chi gestisce la nuvola?

Come realizzare l’infrastruttura Cloud per il Paese.
Pubblicato il 29 Luglio 2021
di Giuseppe Attardi
Democrazia, Digitale, Temi, Interventi

L’esecuzione dei progetti del PNRR dedicati alla “digitalizzazione” non prevede come infrastruttura digitale soltanto la Rete, ma anche una infrastruttura fondamentale chiamata Cloud alla cui realizzione state assegnate risorse significative. Che cosa è questa infrastruttura? Perché è così importante per cittadini e imprese? Come dovrà essere realizzata per preservare la sovranità dei dati dei cittadini e dello Stato, e per sottrarsi a una sudditanza verso USA e Cina rivestita di modernità tecnologica? Per evitare questo rischio occorre una società pubblica nazionale che progetti e realizzi una piattaforma cloud dotata della propria infrastruttura.

Cos’è il cloud computing

Negli anni ’60 l’Italia si dotò di infrastrutture critiche per il suo sviluppo economico e industriale: autostrade, aeroporti, energia, industria chimica e siderurgica. Per farlo ebbe un ruolo essenziale l’investimento statale tramite IRI, Enel e ENI.

Oggi dovrebbe dotarsi di un’infrastruttura critica per la trasformazione digitale che ci aspetta, un’infrastruttura di cloud computing, su scala nazionale o europea.

Il Cloud Computing è un modello di erogazione di risorse di elaborazione (processori (CPU), memoria, rete, software) in quantità a consumo, prendendole da un pool di risorse condivise, tipicamente dislocate in grandi datacenter centralizzati.

In passato occorreva acquistare computer in configurazioni prefissate in termini di potenza del processore, quantità di memoria e disco, su cui si installava un determinato sistema operativo (es. Windows o Linux). Un server così configurato veniva poi assegnato a funzioni specifiche dal suo utilizzatore, installandoci il software necessario. La configurazione andava scelta per garantire la potenza di picco per lo svolgimento di tali compiti, e restava inutilizzata per gran parte del tempo. Con la tecnica della virtualizzazione un computer moderno, spesso dotato di varie CPU, può essere suddiviso in più macchine virtuali attivabili o disattivabili su richiesta. Lo stesso vale per lo spazio disco, che può essere assegnato dinamicamente da un pool di dischi comune.

Una piattaforma di cloud computing sfrutta queste tecniche per mettere a disposizione risorse di calcolo e storage, possedute e gestite da un operatore, come servizio a un utente o organizzazione esterna (o interna, nel caso di cloud on premise). Centralizzando l’acquisizione e la gestione delle risorse da parte del cloud provider, si ottengono economie di scala e si può ottimizzare l’uso delle risorse, e gli utenti sono sollevati dal lavoro pesante (heavy lifting) di mantenere l’hardware e ricevono accesso via rete a server remoti. Oltre a fornire macchine virtuali nude (Infrastracture as a Service), è possibile offrire macchine predisposte con determinato software (Software as a Service), pronte per un determinato uso. Molte aziende offrono le proprie funzioni come SaaS, acquistando loro stessi le risorse hardware in cloud dai cloud provider: in questo caso l’utente è sollevato anche dal compito di acquisire e installare il proprio software.

Entrambi i modelli sono molto attraenti, rendendo agevole entrare sul mercato con nuovi prodotti o servizi, senza dover fare ingenti investimenti iniziali di infrastruttura, che potrà crescere gradualmente seguendo la crescita della clientela.

I vantaggi del cloud computing

Una gestione centralizzata e la possibilità di condividere risorse, riduce gli sprechi, i costi complessivi e offre opportunità di ottimizzazione dei servizi, ad esempio, riguardo a funzioni comuni come il controllo degli accessi, la resilienza ai guasti, il risparmio energetico con tecniche efficienti di raffreddamento.

I rischi del cloud computing

Affidare le proprie risorse e i prodi dati a un provider esterno comporta dei rischi di sicurezza, specialmente se il provider è soggetto a legislazione diversa dalla propria, come nel caso di provider statunitensi, che sono soggetti al Cloud Act (emanato nel 2018, consente alle autorità statunitensi, forze dell’ordine e agenzie di intelligence, di acquisire dati informatici dagli operatori di servizi di cloud computing a prescindere dal posto dove questi dati si trovano; quindi anche se sono su server fuori dagli Usa).

Un altro rischio è dovuto al vendor lock-in, ossia alla difficoltà o al costo di spostarsi da un provider all’altro, per mutate condizioni economiche o giuridiche. Il rischio può essere alleviato mediante l’utilizzo di soluzioni Open Source (es. OpenStack e Kubernetes).

Un cloud service provider ha visibilità dell’utilizzo dei suoi servizi e pertanto può analizzarne l’utilizzo da parte dei clienti, vendere o personalizzare annunci, addestrare algoritmi di apprendimento automatico o persino vendere i dati dei clienti a entità esterne.

In situazioni estreme, un cloud provider potrebbe bandire l’accesso ai servizi a determinati clienti o persino a intere nazioni, in caso di situazioni di instabilità politica.

Chi adotta il modello del SaaS, invece, si trova di fronte al rischio che lo stesso cloud provider decida di offrire un software simile, a prezzi inferiori, non dovendo accollarsi i costi dei margini dell’infrastruttura cloud. È una situazione non insolita, si pensi ad esempio al servizio di cloud storage di DropBox, che si è trovato di fronte alla concorrenza di Microsoft OneDrive o di Google Drive.

La sovranità dei dati

La sentenza Schrems II stabilisce che è sostanzialmente “illegale” affidare i dati di titolari europei ai soggetti statunitensi e chi lo fa opera a proprio rischio e pericolo.

Secondo Antonio Baldassara: “Il rischio concreto è che i dati strategici di una intera nazione, e per giunta quelli gestiti e custoditi proprio dalle Pubbliche Amministrazioni responsabili di processi critici per la garanzie dei cittadini, finiranno fuori della giurisdizione europea”.

Il Cloud è un’infrastruttura strategica e cruciale per il paese

Con la digitalizzazione estensiva, tutte le attività di una società potranno essere svolte tramite l’utilizzo di servizi digitali e tali servizi saranno quasi sempre erogati su piattaforme cloud.

Chi controlla il cloud controlla l’intera attività di un paese.

L’accesso e il controllo ad una propria infrastruttura di cloud computing nazionale è quindi una priorità strategica per il paese.

Colonialismo digitale

Oltre alla questione della sovranità digitale, ciò che si sta verificando oggi è l’espansione di un potere coloniale, esercitato da aziende private, con il sostegno dei governi di origine, come avvenne nell’8001 con le aziende olandesi in Africa e con quelle inglesi in India, e poi con le aziende petrolifere nel ‘900. Il sostegno dei paesi non avviene oggi con gli eserciti a garantire la sottomissione delle popolazioni, ma con regolamentazioni sul commercio, l’apertura dei mercati, la protezione dalla tassazione alla fonte. Gli Stati europei e del terzo mondo dovrebbero difendersi da questo colonialismo rendendosi in grado di sviluppare e gestire le proprie piattaforme digitali, vero sistema nervoso centrale dei paesi moderni.

Il consolidamento dell’oligopolio digitale

Oggi assistiamo a un processo di consolidamento nel mondo digitale che non ha eguali nella storia. Un rapporto del 2019 di Internet Society illustra come le grandi aziende tecnologiche si muovano velocemente e sfruttino e amplino il loro dominio espandendosi in tutti i settori.

“Il consolidamento in corso dei mercati è incentrato su un piccolo numero di aziende, prevalentemente statunitensi e cinesi. Gli utenti e le aziende beneficiano di questa tendenza perché godono della comodità e dei mercati offerti da queste piattaforme. Le stesse società stanno inoltre espandendo le loro attività a nuovi mercati attraverso acquisizioni e sviluppi di nuovi prodotti, ampliando ulteriormente la loro influenza su una serie ancora più ampia di servizi che modelleranno l’esperienza digitale degli utenti”.

Internet sta crescendo e riducendosi allo stesso tempo: gli utenti e il traffico sono entrambi in aumento, ma la maggior parte delle interazioni avviene con un piccolo numero di fornitori dominanti in modalità “one-stop-shop”.

Dei rischi del consolidamento per una sana economia di mercato ha preso atto l’amministrazione Biden, emettendo un Executive Order, che articola una serie di interventi assegnati a ministeri e agenzie. Esso affida all’agenzia FTC l’autorità di emettere regole per impedire pratiche di commercio scorrette e per affrontare le grandi questioni che sorgono riguardo a come raccolta dati, sorveglianza e altre possibilità tecnologiche forniscono poteri alle grandi aziende tecnologiche. Alla FCC viene affidato esplicitamente il compito di assicurare la Net Neutrality e altri principi di equità nell’uso e accesso alla rete.

I costi del Cloud

I cloud provider commerciali come AWS hanno un margine operativo lordo elevato, intorno 30% sul fatturato. Questo significa che di fatto estraggono un ricarico notevole sulle attività altrui: chiunque svolga un servizio, e quindi faccia il lavoro effettivo, deve cedere una quota rilevante alla piattaforma sottostante. Per esempio, un’azienda energetica, per svolgere le proprie funzioni utilizza servizi cloud, cederà una parte rilevante dei propri ricavi.

Un recente studio di Andreessen-Horowitz ha analizzato i costi nascosti dei servizi cloud commerciali, giungendo alla conclusione che riportando all’interno dei confini nazionali i servizi on-premise, le aziende risparmierebbero circa il 50% dei costi.

A una conclusione simile era giunto il Politecnico di Torino, confrontando i costi di un servizio di streaming di lezioni universitarie realizzato in casa con software Open Source, rispetto ad un analogo servizio commerciale.

Le obiezioni al recupero di sovranità

Non abbiano in Italia le competenze per realizzare servizi cloud adeguati.

Finora le aziende private si sono mosse in ritardo e timidamente nello sviluppare servizi cloud su larga scala. È difficile stabilire se ciò sia dovuto a miopia, mancanza di coraggio o di risorse da investire. Anche aziende come IBM, Google, Oracle e Microsoft sono entrate sul mercato diversi anni dopo il battistrada di AWS (Amazon Web Services), eppure sono riuscite a recuperare e a conquistare i propri spazi.

Gli altri sono troppo avanti

Bisogna osservare che le tecnologie cloud sono in continua evoluzione, quindi ciò che oggi è attuale, tra 4-5 sarà superato in un processo continuo di innovazione. Ad esempio, fino a pochi anni fa la tecnologia delle macchine virtuali era dominante (es. OpenStack), mentre oggi sempre più si stanno imponendo modelli basati su container (es. Kubernetes).

Inoltre, lo spazio di mercato per i servizi cloud sta seguendo una crescita esponenziale, che significa che tra 10 anni sarà 100 volte più ampio dell’attuale. In altri termini, l’attuale dominatore del mercato (AWS con il 48%) detiene meno dello 0,5% del mercato futuro. Ciò non vuol dire che sia possibile spodestarlo, ma che ci sono enormi potenzialità per conquistare quote significative di mercato.

Da soli non ce la possiamo fare?

Se si dovesse partire da zero e fare tutto da soli, il compito sarebbe indubbiamente arduo, ma il settore vede la presenza e la disponibilità di soluzioni Open Source a tutti i livelli, a partire dall’infrastruttura stessa (Open Compute Project) a quello del software di piattaforma (OpenStack e Kubernetes), al software di gestione delle piattaforme (Ansible e Juju) per i servizi distribuiti (Apache Kafka). A progetti Open Source come questi contribuiscono decine di migliaia di sviluppatori, pertanto non si è affatto soli.

Adottare soluzioni Open Source non è un impegno da poco, occorre investire in persone che acquisiscano competenze su ciascun componente utilizzato e partecipino attivamente al loro sviluppo. È un investimento in conoscenza, più che economico o finanziario, ma attraverso il quale passa il destino del ruolo di un paese in un’economia della conoscenza. Rinunciare a questo investimento vuol dire condannarsi definitivamente a un ruolo marginale nei destini del mondo: essere solo consumatori di prodotti altrui e impoverirsi sempre di più. È ciò che avviene con le altre piattaforme, le prenotazioni alberghiere o gli affitti brevi: a noi resta il ruolo di camerieri e agli altri i guadagni da rendita di posizione.

Il piano Colao

Della necessità di razionalizzare le risorse di calcolo delle amministrazioni pubbliche se ne parla fin dai tempi del piano di AgID (Agenzia per l’Italia Digitale) del 2017, che dopo aver censito oltre 11000 datacenter, si proponeva di concentrarli in un piccolo numero di PSN (Poli Strategici Nazionali) e di fare migrare su servizi cloud commerciali tutto il resto.

Nei più recenti sviluppi del PNRR, il ministro Colao prevede la costituzione di un cloud unico per la PA entro il 2022, da affidare a una società pubblica posseduta al 51% da Cassa Depositi e Prestiti, che investirebbe 600 milioni, oltre ad altri 2000 provenienti dai fondi del PNRR, mentre il resto delle quote andrebbe a un gruppo di società private nazionali in partnership con vari cloud provider statunitensi.

L’idea sarebbe che i datacenter fisici sarebbero costruiti e gestiti dai partner nazionali, i quali a loro volta appalterebbero la fornitura delle risorse hardware di calcolo e storage agli americani. Ossia questi fornirebbero dei rack sigillati con il proprio hardware sul quale erogherebbero i servizi cloud alle pubbliche amministrazioni italiane. Se queste sono le condizioni, i dati sarebbero comunque soggetti al Cloud Act da parte del governo statunitense.

Ma questa strategia risulta perdente come lo fu quella degli anni ’90, quando gli operatori telefonici nazionali si illusero di poter lucrare sui servizi di pura connettività di rete. Quando poi scoprirono che i margini sulla connettività erano bassissimi e i costi per mantenere l’infrastruttura elevati, tentarono disperatamente di recuperare proponendo di tassare i servizi OTT (Over The Top) per il traffico che utilizzavano. Operazione fallita e ritentata in più forme, come lo zero-rating2 o l’abolizione della Net Neutrality3. Chi invece investì nello sviluppo di servizi, dai motori di ricerca, ai social media, ai servizi di sharing, ne ebbe grandi vantaggi.

Affidare i servizi cloud e quelli sopra il cloud ad altri, vuol dire rinunciare di nuovo alla parte più remunerativa del mercato, oltre che a quella a maggiore crescita.

Un altro difetto di questa strategia è di facilitare l’accesso al mercato italiano degli operatori stranieri, sottraendo spazi alle attività di vari operatori cloud nazionali di dimensioni medio piccole che hanno dimostrato di saper stare sul mercato sviluppando tecnologie proprie o usando quelle Open Source.

Raccomandazioni per una strategia nazionale

Alcune valide analisi sono state già effettuate su diversi aspetti della questione. Ad esempio, un gruppo di lavoro ha prodotto per il ministro per l’Innovazione Tecnologica e la Trasformazione Digitale (MITD) una Proposta per una strategia dati nazionale, che delinea 8 macro aree strategiche di intervento. La proposta rimane incentrata sulla definizione di linee guida per la condivisione e l’utilizzo di dati nelle pubbliche amministrazioni, lasciando poi aperto il punto cruciale su chi dovrà attuare e gestire la Piattaforma Digitale Nazionale Dati (PDND).

Siamo convinti che occorra invece un investimento pubblico in un’azienda statale che si faccia carico di gestire la piattaforma e di fornire supporto allo sviluppo di servizi digitali basati su questa.

PagoPA è un esempio positivo, in cui con la creazione di una società statale si è offerto non solo un servizio, ma si è creato un intero ecosistema intorno ai servizi di pagamento a cui aderiscono anche aziende private.

La raccomandazione principale è di seguire un percorso simile, creando un’azienda pubblica a cui affidare la progettazione e realizzazione di un piattaforma di cloud computing a disposizione delle PA, e che le supporti nella realizzazione dei loro servizi digitali. Innovando nell’architettura della piattaforma e stabilendo precisi criteri e norme sul suo utilizzo, si potrà riprendere il controllo della base dell’economia digitale, guidando il processo, anziché affidandosi ciecamente alle soluzioni imposte dalle aziende private dominanti sul mercato.

Progettare e realizzare servizi cloud utili

La strada da seguire è all’opposto: lasciare l’heavy lifting ai cloud provider, almeno in una prima fase, e costruire servizi cloud managed destinati ad aziende e amministrazioni pubbliche. Ogni giorno nascono esigenze di realizzazione di nuovi servizi, si pensi a quelli per la gestione della pandemia Covid-19: piattaforma vaccinale nazionale, green pass, sistemi di tracciamento, logistica della distribuzione e somministrazione delle dosi dei vaccini.

Le amministrazioni devono avere la possibilità di attivare tali servizi nell’arco di pochi giorni. Ciò sarebbe possibile ad alcune semplici condizioni: disponibilità di una piattaforma di storage elastico e gestita con criteri di sicurezza, resilienza e scalabilità (niente più fallimentari click-day) e di un team di sviluppatori esperti in grado di attivare nuovi servizi sulla piattaforma in poco tempo. I nuovi servizi dovrebbero essere dispiegabili sulla piattaforma in modo rapido ed efficiente, sfruttando il pool di risorse abbondanti e disponibili, senza dover passare attraverso i lunghi e complessi processi di approvvigionamento tramite bandi pubblici: le risorse devono già essere a disposizione sulla piattaforma.

Riprogettare i servizi

I veri benefici della digitalizzazione si hanno con una riprogettazione effettiva e socialmente condivisa dei processi, non semplicemente trasferendo su cloud le procedure esistenti. In questa attività vanno coinvolti gli sviluppatori nostrani, creando una nuova generazione di esperti in soluzioni informatiche integrate. Questo richiede un innesto di personale giovane ed esperto sia nell’azienda che gestirà il cloud nazionale che nelle pubbliche amministrazioni stesse, dove saranno impegnati nell’individuare nuove tipologie di servizi e dialogheranno con gli sviluppatori per assicurare che le soluzioni rispettino gli obiettivi di funzionalità ed efficacia. Le soluzioni cloud potranno essere agevolmente trasferite e condivise tra le diverse amministrazioni, semplicemente replicandone versioni per ciascuna amministrazione con pochi click di strumenti di dispiegamento automatico. La condivisione dell’infrastruttura sottostante renderà più agevole il mantenimento e l’aggiornamento dei servizi, in un processo continuo di CI/CD (Continuous Integration, Continuous Delivery).

L’Italia potrebbe fare da battistrada in Europa con una soluzione del genere: la piattaforma descritta avrebbe caratteristiche innovative diverse da quelle delle piattaforme commerciali, ad esempio, un modello di flusso dei dati in forma aperta e non aggregata, consentendo la massima flessibilità di utilizzo.

L’innovazione di piattaforma eviterebbe che i grandi provider privati riciclino soluzioni esistenti: i servizi dovranno essere sviluppati ex-novo, recuperando la propria autonomia. Un’iniziativa del genere potrebbe trovare spazio anche in altri paesi europei, creando le basi per una vera autonomia tecnologica. Su questa iniziativa andrebbero chiamate a raccolta i più abili ricercatori e sviluppatori europei, sia del pubblico che del privato.

Il progetto europeo Gaia-X

Il progetto di cloud europeo Gaia-X era nato sotto gli auspici del ministro dell’economia tedesco Altmaier, che nel comunicato di presentazione, dichiarava: “We need something like an Airbus for artificial intelligence,” e lo stesso diceva Roberto Viola, direttore generale di Communications Networks, Content and Technology alla Commissione europea, paragonando Gaia-X a Airbus SE, il produttore di aerei multinazionale europeo, creato per competere con successo con le industrie aeronautiche americane, come Boeing, che nel frattempo si è ridotta a unica azienda occidentale del settore.

Purtroppo nell’evoluzione del progetto, Gaia-X da azienda è diventata un’associazione, della quale fanno parte persino gli stessi operatori cloud americani e il suo obiettivo si è ridotto a definire degli standard di interoperabilità tra servizi cloud. Tale strategia è perdente, perché mentre gli operatori dominanti non avranno difficoltà ad aggiungere uno strato di interoperabilità ai propri servizi, essi continueranno a offrire servizi con funzionalità proprietarie aggiuntive, ad esempio servizi di elaborazione serverless es. (AWS Lambda) o funzionalità avanzate come quelle di Deep Learning e intelligenza artificiale, con le quali non avranno difficoltà a legare i propri clienti alle proprie soluzioni proprietarie e speciali. Inoltre, date le competenze accumulate e il numero di esperti che possono mettere in campo, potranno facilmente guidare gli sviluppi tecnici e normativi degli standard di interoperabilità. Gli europei difficilmente saranno in grado di controbattere, dato che non potranno investire molto del loro scarso personale di alta statura professionale nel settore.

Concorrenza sleale

I grandi operatori cloud commerciali si comportano in maniera spregiudicata anche in termini di concorrenza. La fornitura di un servizio cloud al Pentagono, inizialmente assegnata a Microsoft, è stata contestata ed è ancora aperta l’assegnazione definitiva.

Google riporta una perdita di $1,2 miliardi per il servizio Google Cloud Platform, e si può permettere di andare avanti in perdita compensando con le entrate di altre attività. Chiaramente questo pone enormi ostacoli a chi volesse competere in questo mercato e non può permettersi perdite così sostanziose. Le autorità a protezione della concorrenza dovrebbero intervenire ad evitare abusi del genere.

Perché è importante controllare l’intera filiera

Nella sua prolusione al ACM Turing Award del 1983, Ken Thompson, creatore di Unix, spiegava che in informatica non si può avere garanzia che i sistemi non siano malefatti, se non si controlla l’intera filiera del software: spiegava che, ad esempio, non è sufficiente avere accesso alle sorgenti di un programma. Se il programma viene compilato, occorre avere accesso ale sorgenti del compilatore, ma anche questo non basta per assicurarsi che non ci sia una back door, che può essere fatta ingegnosamente sparire dale sorgenti del compilatore, ma restare nell’eseguibile del compilatore stesso. Anche senza arrivare alla paranoia, è chiaro che non si può essere liberi e autonomi se si lascia in mano ad altri i meccanismi su cui si fonda l’intera nostra attività.

Pertanto, se è vero che è vitale per il futuro del paese creare un cloud unico per la PA nei tempi brevi indicati dal ministro Colao, è anche vitale avere il controllo dell’intera filiera e semmai iniziare con garantirsi il controllo degli strati applicativi, piuttosto che partire da hardware e datacenter.

Occorre quindi investire in competenze nella progettazione e sviluppo di servizi di cloud computing e partecipare massicciamente ai gruppi di lavoro che sviluppano codice Open Source per i servizi e le applicazioni cloud.

Note

1 Stephen Bown, “The Age of Heroic Commerce”.

2 Si tratta di offerte commerciali i cui i costi dei Giga di traffico vengono abbonati se si utilizza uno specifico servizio (es. traffico video con Netflix se si acquista un bundle con l’operatore telefonico). Lo zero-rating avvantaggia un certo fornitore di servizi che ha fatto accordi con l’operatore a danno di tutti gli altri.

3 La Net Neutrality è un principio che stabilisce che gli operatori non possono discriminare sul traffico di rete in base ad esempio al destinatario o alla tipologia di flusso, né applicare tariffe diverse per traffico di tipo diverso.

Qui il PDF

Un commento a “Chi gestisce la nuvola?”

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *