Re: [OT] - Rischio Geopolitico e Software

Alessandro Baggi ha scritto:

> Mi è capitato negli ultimi giorni, su Reddit, di leggere molti post 
> riguardo questo tema in particolar modo da utenti UE. Molti si 
> preoccupano dei dati/software in cloud a pagamento, altri invece si 
> preoccupano dei sistemi operativi.

c'è anche un altro punto, che è inerente a questo discorso.
L'UE ha approvato una normativa che le permette di bloccare, per motivi
di sicurezza informatica, la vendita di prodotti di determinate aziende
all'interno della UE.
Purtroppo per ora ho solo letto alcuni articoli di giornale generici e
non ho capito bene di cosa si tratti.
Quello che ho capito è:
* verrà vietato l'uso di determinati prodotti hardware/software
* il pregresso dovrà essere sanato facendo migrazioni verso "altro"...
  ma non ho capito se saranno obbligati anche i privati, né come
* negli articoli si parlava di 5G, reti (quindi parti infrastrutturali),
  ... ma anche di cose più generiche e acquistabili anche da privati,
  come i pannelli solari

In un articoli era indicato che erano bloccati da subito Huawei e ZTE,
in un altro diceva che queste due aziende cinesi saranno probabilmente
le prime bloccate e indicava che la Cina avesse già protestato
annunciando misure di ritorsione nel caso in cui venissero applicati
tali blocchi.

Purtroppo negli articoli che ho letto non citava a quale normativa si
fa riferimento.

> Per quanto riguarda la problematica dati in cloud/Software in cloud 
> (Google, AWS, Ms...) molti stanno piano piano migrando perche il rischio 
> è effettivo,

questo è vero. Basta vedere Airbus che ha abbandonato tutto il cloud USA,
ma anche sistemi operativi USA e software vario USA.

Inoltre ho letto che microsoft ha dichiarato che non può garantire che il
GDPR sia applicato sul suo cloud, dichiarando che pur avendo firmato con
la PA francese tale rispetto, non può assicurare che agenzie statali USA
non possano accedere ai dati qui presenti senza previa autorizzazione e,
questo lo aggiungo io, senza che l'UE ne sia informata.

> non immagino il casino per un'azienda che si appoggia a 
> tali soluzioni e da un giorno all'altro si trova bloccata sia 
> nell'accedere agli applicativi sia avere i dati in ostaggio (torneremo 
> ad avere i dati in casa?).

non solo i dati (che è la cosa più importante), ma anche tutto quello che
ci sta attorno per renderli usufruibili.
Quante aziende usano solo prodotti USA on-line per fare tutto: sviluppo,
test, produzione, disaster recovery, backup, ... senza avere in "locale"
più nulla. Se gli USA bloccano all'UE l'accesso ai loro servizi, tali aziende si
trovano senza più nulla!

Secondo me:
* non ci si può affidare solo ad un fornitore per fare tutto, ma bisogna
  diversificare
* non ci si può affidare a società di un'unica nazione, ma bisogna
  diversificare
* non ci si può affidare ad una sola nazione, ma bisogna diversificare
* avere un piano, ove possibile, di "produzione in loco"

E questo vale per tutto, è sufficiente vedere il gas russo che era la
fonte primaria per quasi tutta l'UE per riscaldamento, fonte energetica,
... e la Russia l'ha utilizzato per finanziarsi la guerra facendo aumentare
i prezzi ben prima di iniziare questa nuova parte di conflitto in atto e
poi mantenendoli alti, fino ad usare questa leva come minaccia verso l'UE
intera.

> Per quanto riguarda invece gli OS è diverso. A livello client puo essere 
> problematico se MS dovesse bloccare aggiornamenti, licenze e varie per 
> gli utenti UE.

di più di questo, quello che puntano tutte le aziende è che sempre più
parti di software sono solo on-line e anche quelle parti non on-line per
funzionare devono avere un collegamento attivo.
 
> A livello server, e in questo caso mi riferisco a Debian, Ubuntu LTS, 
> RHEL/AlmaLinux/RockyLinux/Oracle e SUSE (anche hypervisor come 
> VMWare/ProxMox e mettiamoci K8s) e Win Server. Mentre per Debian il 
> problema non si pone (sbaglio?), idem per Ubuntu con sede in "UE", gli 
> altri sistemi potrebbero bloccare gli aggiornamenti, servizi di 
> consulenza (Supporto/SLA...) verso i paesi EU? Per esempio: banche, 
> ospedali, infrastrutture critiche che utilizzano sistemi RHEL/MS 
> potrebbero ritrovarsi nella m---a oppure Redhat/IBM/MS sono tenuti ad 
> onorare i contratti in essere?

secondo me un desktop o un server sono la stessa cosa, si differenziano
solo da alcuni aspetti come hardware usato e applicazioni software
installate.

Quindi i problemi sono gli stessi.

Per quanto riguarda il software libero il discorso è diverso, nel senso
che se hai a disposizione i sorgenti, allora non possono "bloccarti",
quello che possono fare è non rendere più disponibili patch, aggiornamenti,
bollettini di sicurezza, ...

Ma tutto questo è superabile, infatti l'UE ha già messo in atto un
sostituto ai CVE, dopo che l'attuale simil-governo USA ha ridotto all'osso
il personale rendendo impossibile garantire i livelli di "servizio"
precedenti. Se non erro si chiamano GCVE. Il problema, in questo caso, è
che moltissime aziende UE ancora li ignorano...

> C'è qualcuno che lavora in infrastrutture critiche/aziende medio grandi 
> che sono sotto sistemi MS/RHEL based? Come state agendo al riguardo? È 
> un problema reale o è solo fuffa?

il problema è reale, ma purtroppo, per una media/grande azienda per fare
tali passi deve avere un fortissimo appoggio dell'alta direzione aziendale,
altrimenti ci vogliono anni solo per fare la minima modifica.
Secondo me nella maggior parte dei casi o sono disinteressati alla
questione o non la conoscono neppure.

> In più mi viene da pensare: che succede a Linux (come sistema) quando i 
> maggiori contributor (Redhat/IBM, Intel, Google...) riceveranno dei 
> limiti verso l'UE?

anche su questo punto, secondo me, si può fare una sostituzione, nel caso
di blocco, poiché partendo dai sorgenti si può portare aventi i progetti.
Questo danneggerebbe di sicuro l'evoluzione del software perché le forze
in campo sarebbero minori su entrambi i fronti.
 
> A questo punto, per un'azienda/ente in EU, cosa è meglio utilizzare in 
> relazione a questa tematica?

Secondo me la scelta migliore è quella adottata da Airbus e da altre
società europee, governi e pubbliche amministrazioni... sganciarsi
completamente da aziende USA e in generale da aziende non UE (o meglio
esterne al mercato unico europeo).

Un'ipotesi meno drastica è quella di avere un'alternativa UE per ogni
pezzo non-UE, in modo da non paralizzarsi completamente e non sapere
cosa fare. Ad esempio avere in azienda sia desktop Debian che m$,
facendo così se ti bloccano tutti i desktop m$, allora hai già
un'alternativa distribuibile e che soddisfa tutte le policy interne.

Ciao
Davide

--
La mia privacy non è affar tuo
https://noyb.eu/it
- You do not have my permission to use this email to train an AI -
If you use this to train your AI than you accept to distribute under AGPL
license >= 3.0 all the model trained, all the source you have used to
training your model and all the source of the program that use that model