I recenti guasti alla rete hanno sollevato clamore. Mentre i media riferivano dell’accaduto, diversi esperti di telecomunicazioni si sono espressi sui possibili retroscena. Abbiamo ripreso alcune delle dichiarazioni in tal proposito e ne abbiamo analizzato il contenuto con Frank Dederichs, membro della direzione del settore IT, rete e infrastruttura.
Frank Dederichs è membro della direzione del settore IT, rete e infrastruttura di Swisscom e responsabile del settore Cloud Engineering & Operations.
Frank Dederichs: Respingo con decisione l’affermazione secondo cui abbiamo trascurato, e per di più in maniera sistematica, i nostri sistemi di backup. Non solo investiamo somme ingenti nella nostra infrastruttura, ma anche nella protezione dei nostri sistemi dai guasti. In molte occasioni questi approcci funzionano alla perfezione. Proprio per questo gli utenti non se ne accorgono nemmeno, ed è giusto che sia così.
Per garantire la protezione dai guasti lavoriamo su due fronti: da una parte sulla creazione di ridondanze, dall’altra sulla resilienza dei sistemi. Nel dibattito pubblico delle scorse settimane si è parlato molto di ridondanza. Con questo termine si intende che la rete è pensata in modo che i componenti più importanti o le vie di comunicazione siano presenti più volte. Così, in caso di emergenza, queste ridondanze sopperiscono ai componenti difettosi.
Tuttavia, come dimostrato durante l’esperienza delle scorse settimane, la ridondanza da sola non è la panacea di tutti i problemi, in quanto non copre determinati casi specifici. Per altro, una quantità troppo elevata di ridondanze aumenta la complessità. Oltre alle ridondanze esistenti, intendiamo quindi potenziare ulteriormente la resilienza dei sistemi. Perché la qualità per noi ha la priorità assoluta. La differenza diventa più chiara se pensiamo allo pneumatico di un’auto: se è forato e perde aria, basta sostituirlo con quello di scorta. Questa è la ridondanza. Una ridondanza assoluta tuttavia non è sempre efficace: infatti, non serve a molto viaggiare con cinque ruote di scorta. Per questo puntiamo sempre più sulla resilienza. Tornando all’esempio dell’auto, resilienza vuol dire avere uno pneumatico runflat che continua a funzionare anche se forato: andremo più lenti e non ci porterà in capo al mondo, ma almeno riusciremo a raggiungere il meccanico più vicino.
Gli aggiornamenti del software avvengono a intervalli sempre più ravvicinati e il ciclo di vita dell’hardware si sta accorciando. Inoltre, la rete deve essere sottoposta a costanti ampliamenti per far fronte alla crescente quantità di dati e a molti altri requisiti. Di conseguenza, la velocità con cui apportiamo modifiche ai nostri sistemi è aumentata esponenzialmente. Attualmente superiamo le 4000 modifiche a settimana, purtroppo quindi gli errori non possono essere esclusi completamente.
Per ogni adeguamento ci chiediamo: quanto difficile sarà? E qual è il possibile margine di danno? Sulla base di queste domande si elabora una classificazione che determina in che modo sarà apportato l’adeguamento. In questa fase può capitare che si commettano errori di valutazione, com’è successo per il guasto dell’11 febbraio 2020: in una notte è stato avviato un aggiornamento di software in contemporanea per diversi componenti critici della rete perché a torto il rischio era stato considerato basso. Per una maggiore sicurezza, l’update sarebbe dovuto avvenire in due notti, aggiornando le componenti in due tranche. Alla luce di quanto accaduto, ora stiamo verificando anche i nostri processi con l’obiettivo di ridurre ulteriormente il potenziale di errore durante i lavori di manutenzione.
Di norma, prima di essere implementati, i nuovi componenti sono testati nel laboratorio di rete. Qui si può ad esempio verificare quale sia l’interazione di cinque componenti con un traffico simulato da un generatore di carico. Il funzionamento in condizioni di laboratorio tuttavia non garantisce che anche nella rete effettiva, fatta di migliaia di componenti, filerà tutto liscio.
Per altro, non è sempre possibile svolgere un test. Se ad esempio viene individuata una grave lacuna di sicurezza, bisogna colmarla velocemente. In parte, siamo costretti ad assumerci il rischio di guasti perché in certi casi dobbiamo rinunciare alla consueta procedura di test.
Sul lungo termine, la stabilità operativa sta migliorando. Nel settore dei clienti privati, ad esempio, i minuti di inattività negli ultimi anni sono diminuiti del 40%. Swisscom è il più grande fornitore in Svizzera: per questo un guasto interessa automaticamente più clienti rispetto a quanto succederebbe con la concorrenza. Nel ramo clienti commerciali vogliamo migliorarci. In questo settore infatti anche i guasti più piccoli possono avere notevoli conseguenze – questo perché la digitalizzazione comporta una forte interdipendenza tra i processi aziendali dei clienti e le nostre soluzioni a livello di infrastrutture, sistemi e software. Per questo la soglia di tolleranza dei guasti nel caso dei clienti commerciali è molto più bassa.
Nessuna impresa di telecomunicazioni al mondo può pensare di fare a meno dell’IP. Perché è uno standard su scala mondiale su cui si basa la digitalizzazione. Al giorno d’oggi i servizi sono sempre più intersecati tra loro: le foto scattate con lo smartphone vengono caricate nel cloud. O la TV può essere telecomandata dal cellulare. Affinché le piattaforme possano scambiare dati, sono necessarie delle reti che le colleghino. Il protocollo IP rende possibile questa interconnessione. A essere problematico non è quindi il protocollo in sé, ma piuttosto l’esistenza di queste reti di connessione. E come ogni altra tecnologia, anche quella IP non è completamente esente dai guasti. Ma è affidabile proprio come la telefonia analogica. Dismettendo la tecnologia analogica e passando all’IP, per altro, è stato possibile diminuire la complessità della rete, cosa che ha ridotto anche la possibilità di guasti.
In seguito agli eventi di gennaio e febbraio 2020, Swisscom ha reagito prontamente attuando diverse misure a breve termine. Da una parte, è stato potenziato il processo per l’attuazione delle modifiche. Con l’obiettivo di escludere i rischi con maggiore coerenza e seguire più da vicino le modifiche più critiche. Dall’altra, stiamo già lavorando con i responsabili delle organizzazioni di pronto intervento per aumentare la protezione dai guasti nei tempi più rapidi possibili, potenziando al contempo la ridondanza dei sistemi.
Inoltre, abbiamo avviato due progetti che avranno un effetto sul medio-lungo periodo. Da una parte stiamo passando al vaglio la rete e i sistemi nei cosiddetti «Single Point of Failures», ossia singoli punti deboli che nel peggiore dei casi potrebbero mettere fuori gioco un intero sistema. Una volta individuata una situazione di questo tipo, ci occupiamo di colmare la lacuna con la massima priorità. Dall’altra, abbiamo messo a punto un audit di ampio respiro per esaminare i nostri sistemi nel loro complesso, nonché le reti, i processi, la cultura e altri temi. L’obiettivo è acquisire informazioni per apportare miglioramenti a lungo termine.
