Valutazione tecnica
Servizi · Valutazione tecnica
Le decisioni tecniche richiedono dati, non impressioni.
Valutazione dell'infrastruttura, della sicurezza e degli applicativi in uso, con le implicazioni economiche di ogni raccomandazione. Il risultato è un documento che resta all'azienda, non un preventivo.
Richiedi una valutazione
Il problema
Le decisioni tecniche vengono prese senza dati.
Si sceglie il fornitore che risponde per primo, si rinnova il canone perché scade, si rimanda la sostituzione perché nessuno sa cosa comporti.
Non è disattenzione: è che la fotografia non c'è. Nessuno ha messo per iscritto cosa gira, su cosa gira, quanto costa, quali sono i punti in cui il sistema si ferma se qualcosa va storto, e quanto costerebbe rimediare prima anziché dopo.
Nel frattempo le decisioni si prendono lo stesso, ma su impressioni. E le conseguenze si vedono più avanti, quando correggere costa un ordine di grandezza in più.
Il metodo
Non solo strumenti automatici.
Gli scanner producono elenchi. Un elenco di vulnerabilità ordinate per gravità teorica dice cosa è stato rilevato, non cosa conta per quella azienda: quali di quei punti sono raggiungibili davvero, quali stanno su un sistema che sta per essere dismesso, quali si chiudono con una riga di configurazione e quali richiedono un progetto.
Gli strumenti automatici servono e vengono usati, ma sono l'inizio: la parte che vale è la verifica manuale, la lettura delle configurazioni, la prova di cosa succede davvero, e la valutazione di ogni punto rispetto al modo in cui l'azienda lavora e a quanto costerebbe intervenire.
Il criterio è uno: ogni rilievo arriva con la sua conseguenza pratica e con l'ordine di grandezza dell'intervento. Un rilievo senza quelle due cose è rumore che nessuno userà per decidere.
Ambiti
Su cosa si può fare una valutazione.
Il perimetro si definisce su quello che serve: non c'è un pacchetto fisso, si valuta ciò su cui l'azienda deve decidere.
Infrastruttura e sistemi
Server, virtualizzazione, rete, archiviazione, copie di sicurezza e ripristino. Dimensionamento rispetto ai carichi reali, punti di guasto singoli, e cosa succede davvero il giorno in cui una macchina non riparte.
Sicurezza
Superficie esposta, aggiornamenti e supporto dei sistemi in uso, gestione degli accessi e delle credenziali, segmentazione della rete, registri e capacità di accorgersi di un problema. Verifica manuale, non solo scansione.
Applicativi e gestionali
Cosa fa davvero il software in uso, quali dati contiene, quanto è estendibile, quanto costa mantenerlo e cosa comporterebbe sostituirlo. Include l'esame del modello dati, quando è accessibile.
Costi e contratti
Canoni, licenze, rinnovi, vincoli con i fornitori. Quanto si paga per cosa, quali voci sono sostituibili, quali no, e quale margine esiste per riallocare la spesa invece di tagliarla.
Conformità
Requisiti applicabili all'azienda e alla sua posizione nella catena di fornitura, incluso l'adeguamento NIS2. Distinzione tra ciò che è obbligatorio, ciò che è raccomandato e ciò che viene venduto come obbligatorio e non lo è.
Processi e dipendenze
Come lavorano le persone, dove il processo dipende da una sola persona o da un solo file, quali attività ripetitive potrebbero essere automatizzate. È la parte che nessuno strumento rileva.
Cosa resta all'azienda
Un documento, non una presentazione commerciale.
Rapporto tecnico
Lo stato rilevato, i rilievi con evidenza di come sono stati verificati, e le raccomandazioni in ordine di priorità. Scritto per essere letto da chi decide, non solo da chi è tecnico.
Implicazioni economiche
Per ogni raccomandazione, l'ordine di grandezza dell'intervento e il costo di non farlo. È la parte che rende la decisione possibile.
Sintesi per la direzione
Il quadro in poche pagine: cosa è urgente, cosa può attendere, cosa non serve. Utilizzabile in un consiglio di amministrazione senza traduzione.
Nessun vincolo sul seguito
Il documento è dell'azienda e resta valido con qualunque fornitore. Se l'intervento verrà fatto da altri, il rapporto serve comunque — e serve a valutarne le offerte.
Come funziona
Perimetro e impegno si definiscono prima.
Non esiste un pacchetto a listino, perché una valutazione su un ambiente da due server e una su un parco distribuito su più sedi non sono la stessa cosa. Il perimetro, l'impegno e il modo di acquisto si concordano dopo una prima conversazione, in cui si stabilisce cosa serve davvero valutare.
Quella conversazione non si paga.