Uno sguardo sull'approccio Policy as Code: perché ora e come può aiutare?

Quante volte ci capita di leggere notizie su violazioni dei dati o interruzioni dei sistemi causate da errori umani o da violazioni esterne? Se lavori nel settore IT per l'azienda colpita, gli impatti diretti e indiretti possono essere significativi, e questo livello di impatto si riflette in tutto il settore IT. Consideriamo alcuni dati: il rapporto sulla sicurezza di Splunk del 2023 indica che la complessità degli attacchi è la principale sfida per il 38% dei rispondenti al questionario, mentre il 28% si limita ad una modalità di risposta reattiva per via delle elevate richieste. Il rapporto sui costi di una violazione della sicurezza di IBM pubblicato nel 2023 rivela che il costo medio di una violazione dei dati è di 4,45 milioni di USD, e rappresenta un aumento del 15% nell'arco di 3 anni. Statistiche come queste indicano che la complessità e il volume degli attacchi, così come le vulnerabilità segnalate, continuano ad aumentare. Con tutto ciò, cresce anche il rischio di violazioni e impatti finanziari. La risposta è lavorare in modo più intelligente.

Nel corso dell'ultimo decennio, la maggior parte delle aziende si è impegnata a rinnovare e trasferire applicazioni e servizi aziendali nel cloud ibrido per poter lavorare in modo più agile e veloce, perché le richieste odierne sono più elevate che mai. Inoltre, quasi ogni cliente con cui parlo sta affrontando una continua crescita della complessità man mano che si aggiungono nuove tecnologie come edge e IA.  

Cosa significa tutto ciò per i carichi di lavoro IA a livello aziendale? Ora stai elaborando grandi volumi di dati su una infrastruttura ibrida ancora più complessa ed stai eseguendo, o desideri eseguire, applicazioni basate su IA che richiedono molto alla tua infrastruttura tecnologica. È uno scenario molto impegnativo se non hai già automatizzato la gestione, e i processi manuali rallentano i progressi in termini di soluzioni e innovazioni IA.

Rispetta i requisiti di conformità e promuovi la coerenza operativa per carichi di lavoro di importanza critica 

In un ambiente complesso che ora include l'IA, devi allinearti alle policy interne ed esterne per controllare i costi, ridurre i rischi e mantenere coerenza, cercando di continuare a lavorare in modo agile. È necessaria una gestione della governance, del rischio e della conformità (GRC) interna ed esterna, ma automatizzarla è un approccio intelligente che ti aiuterà a rimanere agile.

Spesso, i sistemi di importanza critica che generano entrate per la tua organizzazione, migliorano la produttività o ti aiutano a controllare i processi, sono quelli più colpiti dalle direttive di conformità interne ed esterne. Devono rimanere sicuri, efficienti e auditabili, con poche violazioni e buoni processi di ripristino. Tutto ciò richiede tempo e ulteriori flussi di lavoro, affinché ogni richiesta venga presa in carico. Anche i revisori e i responsabili degli audit hanno bisogno di informazioni, e questo sottrae ancora più tempo al processo di sviluppo ed esecuzione di applicazioni critiche. Questo si traduce nell'insoddisfazione dell'intero team e in lentezza e scarsa efficienza nelle fasi di sviluppo, test e produzione.

Quando si tratta di processi GRC interni ed esterni, pensa a cosa succederebbe se potessi:

• Sostituire processi di convalida manuale lenti e complessi con controlli automatizzati ed efficienti che avvengono prima che venga intrapresa un'azione.
• Estendere la conformità attraverso processi automatizzati rapidi ed efficienti.
• Offrire ai team un'esperienza semplificata affinché possano concentrarsi sulle loro responsabilità principali e migliorare il loro livello di soddisfazione generale.

Automatizzare con un approccio Policy as Code può aiutarti a garantire la conformità, mentre ti occupi di gestire la complessità, di ridurre i rischi e di lanciare nuove applicazioni IA con la velocità e l'agilità che gli utenti si aspettano dai tuoi team. Con un approccio Policy as Code automatizzato, hai più possibilità di mantenere i progressi che hai fatto nel cloud ibrido migliorando allo stesso tempo la tua situazione in ambito GRC.

Grazie ad un metodo prevedibile ed efficiente di applicazione delle policy, puoi aumentare l'affidabilità e la coerenza del tuo stack tecnologico. La mancanza di competenze avrà un impatto minore sulla tua operatività e potrai contribuire a ridurre gli errori umani, che spesso sono all'origine di violazioni e problemi. Automatizzare con un approccio Policy as Code può aiutarti a gestire i problemi di produttività che il tuo team deve affrontare.

Automatizza con l'approccio Policy as Code durante il ciclo di vita

Automatizzare con l'approccio Policy as Code offre un modo migliore di progettare, rendendo efficienti i controlli di convalida e della conformità delle policy. Red Hat Ansible Automation Platform è una piattaforma di automazione che i clienti utilizzano per automatizzare i processi IT interni aumentando velocità, efficienza, agilità e, naturalmente, il ROI. È una soluzione altamente flessibile che può automatizzare quasi qualsiasi processo IT, e questo include l'automazione di Policy as Code. Il tuo team può utilizzare un approccio Policy as Code automatizzato per le seguenti attività:

• Creazione: Controlla automaticamente l'applicazione delle policy durante il ciclo di sviluppo per semplificare la creazione di piattaforme di sviluppo e di test conformi, e per garantire la conformità sin dall'inizio, nel codice e negli ambienti di produzione. Assicurati che il tuo team possa applicare tutte le policy richieste senza dover organizzare riunioni o effettuare verifiche manuali.
   
• Gestione: Integra l'applicazione delle politiche necessarie, per esempio controlli di policy discrezionali o obbligatorie prima o dopo l'esecuzione di un lavoro di automazione. Ricevi avvisi quando una tecnologia non rispetta le policy di conformità e/o rispondi automaticamente alla richiesta. Assicurati che le istanze cloud e altre tecnologie soddisfino le tue specifiche di configurazione in modo da poter controllare i costi e garantire un ambiente operativo coerente e affidabile. Identifica facilmente l'inventario che potrebbe essere impattato da una modifica delle policy e applica le modifiche automaticamente.
   
• Scalabilità: Automatizza il reporting e l'output ai sistemi di audit, alleviando l'onere complessivo del team responsabile delle attività di reporting.

Puoi automatizzare con l'approccio Policy as Code includendo policy nei tuoi Ansible Playbook. Questi possono essere eseguiti manualmente o tramite l'automazione del controller. Quando aggiungi Event-Driven Ansible (incluso in Ansible Automation Platform), puoi automatizzare la risposta end-to-end, ad esempio quando una policy non è conforme ai tuoi standard e il tuo strumento di osservabilità o monitoraggio segnala l'incongruenza e/o la corregge. 

Preparati per una Policy as Code completamente automatizzata

Come è possibile raggiungere questi obiettivi su larga scala ed estenderli a tutta l'organizzazione? Ecco alcuni modi:

• Espandi il tuo utilizzo dell'automazione. Quanti dei tuoi team (network, cloud, infrastruttura, sicurezza, sviluppo applicazioni, SRE, ecc.) stanno utilizzando una piattaforma di automazione unica e coerente? Estendendo l'uso dell'automazione a livello aziendale puoi garantire policy allineate su tutto lo stack tecnologico. L'idea è quella di estendere l'automazione per implementare Policy as Code automatizzate su carichi di lavoro o applicazioni di importanza critica. 
• Modularizza e centralizza l'automazione in un modello "as Code". Le tue policy possono essere scritte in modo indipendente dal fornitore, centralizzate, e poi applicate a soluzioni specifiche del fornitore? È possibile includerle in Ansible Playbook o Ansible Rulebook? Identifica un repository centrale per memorizzare i file di configurazione standard, i playbook e altri asset di automazione che desideri utilizzare in modo coerente. Si tratta di adottare un modello di Infrastructure as Code e/o Configuration as Code e per continuare ad estendere l'automazione Policy as Code.
• Valuta le tue esigenze di conformità automatizzate e allinea il tuo team. Identifica i requisiti critici di conformità e sicurezza che devi soddisfare, poi pianifica tappe e obiettivi. Riunisci il tuo team e promuovi una comprensione condivisa degli obiettivi, dei benefici, dei ruoli e delle responsabilità. Preparati per la fase operativa, ad esempio testando tutte le policy prima di utilizzarle in un flusso di lavoro di distribuzione.
• Pianifica monitoraggio e interventi. Dopo avere attivato applicazioni e carichi di lavoro critici, determina come monitorerai e risponderai alle violazioni delle policy. Un'opzione è utilizzare un'automazione guidata da eventi per rispondere immediatamente e senza intervento manuale a un rischio di sicurezza o a una modifica della configurazione che comporta rischi. 
• Identifica un leader della tua comunità di pratica per l'automazione. Red Hat raccomanda questo approccio da molti anni, per far crescere e ampliare l'uso dell'automazione. Il leader designato può affrontare l'automazione in generale e anche aiutarti ad avviare l'automazione Policy as Code. Nella risorsa intitolata The Automation Architect’s Handbook potrai trovare alcune idee per organizzare il tuo team. 

Inizia un processo di adozione graduale dell'approccio Policy as Code

Indipendentemente dal livello di automazione raggiunto, un approccio Policy as Code automatizzato può aiutarti nella strategia GRC. Poiché la conformità deve essere applicata all'intero stack tecnologico che supporta la tua applicazione, considera l'estensione dell'automazione fino ad arrivare ad un'automazione che attinga da un'unica sorgente. Se è troppo presto, puoi automatizzare le policy, ma è probabile che siano più di natura interna (ad esempio, una specifica versione di Linux deve rispondere a specifiche policy di sicurezza per funzionare nel tuo ambiente). 

In generale, Red Hat consiglia di iniziare applicando l'approccio Policy as Code a casi d'uso semplici per poi far crescere la portata e la complessità. Alcuni esempi di scenari di applicazione sono:

• La compilazione di un inventario sui sistemi che non sono allineati a una policy specifica.
• Applicazione di una policy di runtime che prevede, ad esempio, che un firewall possa essere aperto solo su una porta specifica.
• Creazione di un'istanza cloud di dimensioni limitate, per controllare i costi del cloud.
• Automazione di una modifica su un dato server eseguibile solo durante una finestra di manutenzione.

Dopo avere applicato l'approccio Policy as Code a casi d'uso semplici, potrai decidere di estenderlo ad altri scenari, con diversi livelli di complessità. 

Ora che conosci le raccomandazioni di Red Hat sull'automazione con l'approccio Policy as Code, mi auguro che tu possa considerare di adottarlo per alleviare processi lunghi e ripetitivi. Concludo ricordandoti che Ansible Automation Platform è molto flessibile. Dopo avere individuato le aree da automatizzare, la piattaforma consente di eseguire le azioni richieste in modo efficiente, tra cui quelle specifiche dell'automazione Policy as Code. L'approccio Policy as Code è destinato a rendere sempre più semplice e intelligente il modo di lavorare durante il ciclo di vita delle applicazioni.