0:00:05 Emily Wearmouth: Salve e benvenuti al podcast Security Visionaries. Sono la vostra conduttrice, Emily Wearmouth, e oggi sono in compagnia di Seb Leal Bennett, che guida l'architettura e il cloud per una grande banca d'investimento europea. Ha trascorso l'intera carriera finora nei servizi finanziari, che credo possiamo concordare essere probabilmente l'ambito più estremo di alcuni dei contesti tecnologici più altamente regolamentati e ad alto rischio che si possano trovare. È un professionista della progettazione per il cloud, la resilienza e la sicurezza, dove il margine di errore è probabilmente pari a zero. Benvenuto nella trasmissione, Seb.
0:00:36 Seb Leal Bennett: È fantastico. Grazie.
0:00:36 Emily Wearmouth: È un piacere averti qui.
0:00:39 Seb Leal Bennett: Non vedo l'ora.
0:00:40 Emily Wearmouth: Ho alcune domande incalzanti e in realtà andrò dritta al punto, perché penso che questo aspetto altamente regolamentato sia davvero pertinente. E uno dei motivi per cui sono davvero felice di averti ospite. Quello da cui volevo partire è riflettere su cosa significhi realmente quando progetti per il cloud e probabilmente hai tutte queste normative da qualche parte su uno scaffale: le tieni in considerazione fin dall'inizio partendo dai vincoli che impongono, per poi pensare a cosa sia possibile realizzare all'interno di essi? O progetti quello che ritieni sia l'approccio corretto e poi lo sottoponi a un filtro per verificare se, un attimo, rispetta le normative? Qual è l'ordine in cui consideri le cose?
0:01:18 Seb Leal Bennett: Decisamente la prima. Non si tratta di costruire e vedere cosa succede. Ci assicuriamo fortemente che i servizi che utilizziamo nel cloud siano stati sottoposti a un processo estremamente rigoroso per quanto riguarda ciò che puoi o non puoi fare con essi, i dati che puoi o non puoi archiviare al loro interno e le modalità con cui puoi utilizzarli. Quindi sai che i servizi a tua disposizione per la progettazione o lo sviluppo sono già stati approvati. Tuttavia, quando utilizzi tali servizi, rimane comunque tua responsabilità assicurarti di impiegarli correttamente. Quindi, se hai preoccupazioni relative alla giurisdizione o alla sovranità dei dati, devi assicurarti che il servizio che stai utilizzando si trovi nella zona, nell'area e nella regione giuste, e devi poterlo dimostrare. Quindi la situazione è tale per cui siamo fortemente regolamentati e ci assicuriamo che tutti i servizi che utilizziamo rispettino le stesse normative.
0:02:04 Seb Leal Bennett: E abbiamo team specializzati che se ne occupano giorno dopo giorno, ed è un processo molto complesso. L'ho fatto una volta per uno dei nostri servizi ed è tipo, oh, queste persone fanno davvero molto.
0:02:13 Emily Wearmouth: Pensi che rallenti? Se confronti il tuo settore con altri, questo limita la velocità con cui puoi abbracciare le innovazioni?
0:02:24 Seb Leal Bennett: Un po', immagino, ma non dimenticare che con le grandi organizzazioni, potresti essere una grande organizzazione tecnologica e subire rallentamenti perché bisogna seguire le proprie policy e i propri processi. Ma dobbiamo anche assicurarci di usarlo correttamente perché, se commettiamo errori, se usciamo dal mercato e creiamo eventi che hanno un impatto sul mercato, o se i nostri dati subiscono una violazione, il danno d'immagine è enorme. Quindi non possiamo nemmeno rischiare una cosa del genere. Quindi è meglio procedere con calma e costanza, fare le cose per bene fin dalla prima volta, piuttosto che essere l'esempio che il regolatore porta dicendo: guarda cosa hanno fatto di sbagliato. Nessuno vuole essere quella persona.
0:02:58 Emily Wearmouth: Ti ho presentato come esperto di cloud e architettura. Quanto di ciò che state facendo si trova nel cloud? Utilizzate interamente il cloud o lavorate in ambienti caratterizzati da un mix ibrido on-premise e cloud?
0:03:14 Seb Leal Bennett: Dipende molto dall'applicazione e dalla tecnologia disponibile. Quindi tutto ciò che ha una bassa latenza rimarrà on-premise e si troverà nei datacenter di co-ubicazione vicini ai datacenter principali. Se hai qualcosa che è semplicemente un'applicazione media, diciamo a tre livelli, hai il livello intermedio e di back-end che può andare nel cloud, e allora può andare lì. Finché ha senso. Non limitarti a pubblicare le cose là fuori solo perché hai una metrica che dice che devi spostare lì il 10% o il 100% delle tue applicazioni. Finché la posizione ha senso, allora assicurati di coglierla.
0:03:46 Emily Wearmouth:E quanta complessità comporta questo approccio ibrido? Se siete tutti una cosa o tutti un'altra, immagino che stiate progettando un unico approccio, e state immediatamente duplicando due approcci, due sistemi e strutture differenti. Quali sono le complessità in tutto ciò?
0:04:04 Seb Leal Bennett: Beh, anche in questo caso, dipende dall'approccio. Quindi potreste avere, qualora adottiate un approccio ibrido, l'approccio ibrido potrebbe consistere nel fatto di avere il vostro ambiente di non-produzione sul cloud perché potete disattivarlo, potete essere efficienti, potete essere elastici. Non è attivo la sera o nei fine settimana, non ti serve. Disattivalo per risparmiare denaro. Non può andare in produzione sul cloud perché non hai i servizi di cui hai bisogno. Quindi mantieni questi due stack oppure potresti adottare un approccio in cui sposti tutte le applicazioni e tutti gli ambienti on-premises o sul cloud. Quindi, ancora una volta, spetta all'architetto e al team prendere la decisione giusta in merito. Possiamo guidare, possiamo aiutare, possiamo indicare la stessa direzione e fornire informazioni, ma non esiste una soluzione valida per tutti. Ci affidiamo molto ai nostri architetti per fare in modo che vengano prese le decisioni giuste.
0:04:53 Emily Wearmouth:E quanto rappresenta un vantaggio o uno svantaggio quell'approccio decisionale decentralizzato, per cui non imponi una soluzione specifica valida per tutta l'azienda, ma valuti ogni singolo caso perché le esigenze di ognuno sono diverse? In che misura ciò introduce rischi o la possibilità di uno stack ingombrante, in cui tutto è personalizzato e unico per ogni caso aziendale?
0:05:21 Seb Leal Bennett: Beh, il modo per aggirare la questione... non per aggirarla, scusa, per affrontarla, è semplicemente tramite buoni guardrails, buoni standard e buoni pattern. In questo modo si evita che ogni team affronti la stessa conversazione trenta volte, perché il primo team che riesce a portare a termine il processo di architettura e governance stabilisce il modello che verrà ripetuto. Altrimenti ci si ritrova con circa trenta team e probabilmente sessanta modi diversi di fare la stessa cosa, il che non è molto efficiente. Ed è qui che l'architettura e la governance diventano davvero importanti. La gente pensa che rallentiamo le cose, ma il rovescio della medaglia è che, se lasciamo scappare il proverbiale gatto fuori dal sacco, per così dire, è un bel problema rimettercelo dentro.
0:05:58 Emily Wearmouth:Prima hai parlato di sovranità e volevo approfondire l'argomento perché è l'ultima tendenza. Abbiamo iniziato l'anno e l'AI era la parola d'ordine. L'AI non andrà da nessuna parte, ma sembra che la sovranità sia diventata la parola d'ordine, che si tratti di sovranità dell'AI o, più in generale, di sovranità digitale o dei dati. In qualità di organizzazione internazionale, come vedete questo crescente interesse per la sovranità?
0:06:24 Seb Leal Bennett: Penso che in realtà siamo a posto così come siamo adesso, perché nella nostra organizzazione il concetto di dove i dati possono o non possono risiedere è presente sin dall'inizio dei tempi. Quindi non c'è nulla di New per noi. Abbiamo normative che regolano ciò che possiamo o non possiamo fare, è sempre stato così e lo sarà sempre. Quindi è davvero importante. Non puoi permettere che i dati escano dalla zona consentita, che si tratti dei dati svizzeri, del Liechtenstein o di quelli di Taiwan. Devi assicurarti che i servizi che usi siano stati approvati anche dall'autorità di regolamentazione di quella regione, per confermare che quel cloud service provider metta a disposizione gli strumenti giusti. Di solito assicurati di farlo correttamente con le applicazioni. E se i dati fuoriescono dai confini, bisogna disporre degli strumenti necessari per individuarli, vederli, affrontarli e molto probabilmente effettuare un'autodenuncia alle autorità di regolamentazione dicendo: "Ehi, abbiamo fatto un errore".
Siamospiacenti. Analizziamo la questione. Non nasconderlo.
0:07:21 Emily Wearmouth: Un minuto fa ha parlato di sovranità e volevo tornare su questo punto, perché sembra un argomento davvero molto caldo al momento. Recentemente ci sono stati alcuni episodi a livello macro-politico in cui abbiamo visto cosa potrebbe accadere se determinate nazioni decidessero di controllare l'esportazione commerciale di alcuni dei propri servizi digitali. Ed è diventata una discussione sulla resilienza, in cui la sovranità aiuta a far sì che, se tutto avviene localmente all'interno del proprio mercato sovrano, non si subiscano i condizionamenti dei cambiamenti normativi di altri Paesi. Ma, naturalmente, la natura globale dell'infrastruttura è ciò che le conferisce resilienza in altri modi: se si verificano interruzioni in determinati Paesi a causa di eventi cosiddetti "cigno nero", si desidera disporre di quel backup, vicino, ma magari situato oltre confine. Come considera la sovranità e come affronta le cose?
0:08:15 Emily Wearmouth:È resilienza oppure no?
0:08:18 Seb Leal Bennett:Interessante. La legge vieterà che i dati escano da una determinata giurisdizione. Non è consentito archiviarlo al di fuori dell'organismo di controllo. Voglio dire, la Cina è molto rigida a livello di provincia. Ovviamente il governo svizzero è molto severo e persino il Regno Unito in alcuni ambiti. Quindi bisogna essere resilienti nel pieno rispetto della legge. Quindi ci sono più data center o regioni, un cloud service provider nel Regno Unito, in Francia, in Svezia, in Norvegia. Sono tutti lì. Quindi devi sapere dove si trovano i tuoi dati e in quali zone si trovano e di conseguenza agire nel rispetto della legge utilizzando quei servizi, perché non puoi archiviarli altrove. Quindi hai anche più di un cloud service provider e probabilmente hai anche i tuoi data center on-premises. Quindi, se è davvero importante che tu non possa sopravvivere all'interruzione di una regione o di una zona, puoi effettuare un backup interno, ovvero dei dati, il che è possibile.
0:09:18 Seb Leal Bennett:O adottare un approccio multi-cloud, costoso. Lo so perché si hanno costi per i dati in ingresso e in uscita, ma dipende davvero dalla criticità di quel servizio e da come è necessario progettarlo per essere in grado di resistere a disastri geopolitici o naturali nei luoghi in cui si trovano i data center. E per questo motivo è anche molto importante comprendere, quando possibile, l'ubicazione delle zone o almeno la distanza tra di esse con il proprio provider di servizi cloud. Quindi, se sai che c'è un'inondazione nella tua zona uno, sai che se i tuoi dati vengono replicati anche nella zona due o nella zona tre, va tutto bene. Ma se hai provider di servizi cloud che li hanno tutti insieme abbastanza vicini o due su tre, devi sapere quali due sono vicini per assicurarti che il tuo backup sia nell'altro. E questo è davvero importante.
0:10:03 Emily Wearmouth:E come ottenete questo tipo di informazioni dai vostri fornitori? E pensi di ricevere più informazioni se ti trovi in una grande organizzazione finanziaria rispetto a quanto potrebbero ricevere alcuni dei nostri ascoltatori in organizzazioni più piccole?
0:10:14 Seb Leal Bennett:Penso che dipenda dal tuo rapporto con il provider di servizi cloud. A volte è possibile ottenere informazioni. L'ubicazione effettiva, no, quella è sicuramente impossibile da ottenere, ma puoi chiedere qual è la distanza tra di loro e non credo sia una domanda irragionevole da fare. Il provider di servizi che utilizziamo, perché quando crei un abbonamento puoi specificare le zone in cui lo desideri, ma per ogni abbonamento la zona uno sarà una zona fisica effettiva diversa dietro le quinte. Quindi di conseguenza non fanno sì che tutti vadano alla zona uno e alla zona tre, per esempio. E questo evita che tutti si riversino nelle stesse zone, ma offrono un'API per scoprire cosa sia effettivamente, dietro le quinte, la zona fisica. È la zona uno, due o tre? Quindi la tua zona tre potrebbe effettivamente corrispondere alla zona fisica due. Quindi puoi usare queste informazioni per capire dove si trova fisicamente.
0:11:02 Seb Leal Bennett:E poi con le altre informazioni, puoi iniziare a fare le scelte giuste su dove memorizzare i tuoi dati.
0:11:07 Emily Wearmouth:Sembra quasi inutilmente confuso con l'etichettatura. Penso che si potrebbe introdurre un po' di chiarezza.
0:11:15 Seb Leal Bennett:Lo è, ma viene fatto per un ottimo motivo. Serve a impedirle di riversarsi nelle zone uno e tre, ad esempio, lasciando poi la zona due vuota. Così puoi comprenderne i motivi.
0:11:26 Emily Wearmouth:Sì. Penso che sia una domanda davvero utile da porre: se sai che alcune cose devono essere oscurate per motivi di sicurezza, chiedere informazioni sulla distanza tra gli elementi potrebbe essere molto utile per alcuni dei nostri ascoltatori.
0:11:39 Seb Leal Bennett:E non è necessario avere l'esatto, è un chilometro o due? Sono più di 10? Sono più di 30? In questo modo puoi davvero offuscare le informazioni di cui hanno bisogno per darti modo di prendere una decisione accurata e informata.
0:11:52 Emily Wearmouth:E disponete, come organizzazione, di linee guida su ciò che considerate accettabile, oppure è tutto un po' più fluido e valutate ciò che viene offerto determinando il rischio in base al caso d'uso specifico?
0:12:09 Seb Leal Bennett:Abbiamo le nostre policy e procedure, quindi sappiamo cosa è accettabile e qual è la distanza tra i data center; infatti, quando eravamo tutti on-premises, c'erano distanze tra i nostri data center e cerchiamo di rispettare lo stesso standard o addirittura di superarlo quando si tratta dei nostri cloud service provider.
0:12:25 Emily Wearmouth:Immagino che in alcuni mercati con estensioni territoriali maggiori possa essere più semplice. Voglio dire, siamo entrambi seduti nel Regno Unito. Il Regno Unito non è uno dei paesi più grandi del mondo. L'estensione territoriale è piuttosto limitata.
0:12:37 Seb Leal Bennett:Esatto. Finisci per trovarti a est o a ovest del paese o da entrambi i lati di Londra, per esempio. È solo perché inizi a considerare quali siano gli eventi che potrebbero causare l'interruzione di entrambi i data center. E in tutta onestà, se ciò dovesse accadere, penso che avremmo problemi ben più grandi da affrontare rispetto a capire come ripristinare un determinato servizio.
0:12:55 Emily Wearmouth:Sì, assolutamente. Possiamo parlare di zero trust?
0:12:59 Seb Leal Bennett:Sì, possiamo provare.
0:13:01 Emily Wearmouth:Abbiamo parlato un po' del fatto che gestisci questo ambiente ibrido e mi chiedo se, quando consideri l'accesso e le relative infrastrutture, tu debba creare un approccio ibrido anche per quello e se disponi di policy zero trust o le sostieni, e come gestisci tutto ciò in un ambiente ibrido.
0:13:21 Seb Leal Bennett:Dunque, i sistemi di autenticazione e autorizzazione sottostanti sono gli stessi. Abbiamo i nostri standard bancari, i nostri sistemi bancari e si integrano in modo nativo con quelli dei cloud sales provider. Di conseguenza, non hai i diritti d'accesso controllati in tre posizioni diverse. Ne hai uno, hai una sola versione della verità, un'unica fonte di verità e devi assicurarti di seguire il principio del privilegio minimo. Quindi non dai l'accesso a tutti solo perché è semplice. Fornisci loro le informazioni e l'accesso di cui hanno bisogno per svolgere il proprio ruolo e nient'altro. Altrimenti, sette cose diverse possono andare storte e semplicemente non vuoi trovarti in quella posizione. Quindi sì, non dividere i tuoi diritti, i tuoi sistemi. Non ne hai una basata sul cloud, una on-premise, ne hai una sola e quella è la tua versione della verità.
0:14:07 Emily Wearmouth:Posso fare una domanda sull'AI? Alcuni storcono il naso quando dico AI. Sembra semplicemente un argomento inevitabile perché sono intrigato nel sapere quanta titolarità hai su... Immagino che tu lavori con un team molto esteso e con responsabilità molto frammentate. Quanto sta impattando l'AI su ciò che stai osservando al momento o sta cambiando il modo in cui pianifichi le cose?
0:14:31 Seb Leal Bennett:L'AI è ovunque. Non ti rendi conto di dove l'AI possa dare una mano. Quindi, uscendo completamente fuori tema, l'altro giorno parlavo con qualcuno dell'AI e sua figlia è appassionata di danza e canto. E io ero tipo: "Beh, dove può aiutare l'AI in questo senso?" E lui dice in realtà per il canto, perché lo vede come un tono. E improvvisamente sua figlia, che era completamente scettica su qualsiasi cosa potesse anche solo impattare la sua carriera quando si trattava di AI, ha iniziato improvvisamente a usare l'AI per essere più intonata nel canto. Non posso ancora fare video perché questo blocca il fotogramma, ma in realtà non ti rendi conto di quanto l'AI possa aiutare e dovrebbero iniziare a fare esperimenti. Quindi, se non ci giochi nella tua vita professionale e anche in quella personale, ci sono cose a casa per cui puoi usare l'AI. Ottimo esempio, di recente ho ricevuto un sacco di file di log per un sistema di telecamere a circuito chiuso che continua a disattivarsi.
0:15:21 Seb Leal Bennett:Li ho semplicemente caricati su Claude e ho chiesto cosa stesse succedendo. Sono riuscito a ottenere tre errori ed è in grado di individuare che ho fatto un pasticcio con la configurazione di una VLAN, il che è fantastico. Non c'è modo che lo avrei fatto da solo. Sarebbe stato un ticket di supporto. Ma tornando al lavoro
0:15:35 Seb Leal Bennett:Provalo, smanettaci, fai qualche esperimento. Cosa è importante, cosa stai cercando di scoprire? Perché se fai qualcosa più di una o due volte, è praticamente garantito che un buon prompt possa aiutarti. E inoltre quello che penso che le persone non colgano è che cercano di scrivere i prompt da sole, usano l'AI per scriverli, e questo può davvero aiutarti ad andare avanti allo stesso modo. Quindi nello spazio dell'architettura, puoi iniziare e dire: "Beh, in realtà, se ho tutti questi principi, pattern, guardrail e requisiti aziendali, posso codificarli in modo da poter eseguire alcuni agenti sul mio albero del codice, sui documenti di architettura della mia soluzione o sui miei documenti di progettazione?" E la cosa positiva è che, invece di fare la parte di un architetto che cerca di trovare la debolezza nella progettazione in un documento di 30 pagine, l'agente AI può dire: "In realtà, pensiamo che dovreste concentrarvi qui, qui e qui perché non siete qui per timbrare un comportamento davvero eccellente.
0:16:26 Seb Leal Bennett:Sei qui per comprendere le eccezioni ed è meglio avere una conversazione di 10 minuti sul perché stai andando contro la strategia rispetto a una conversazione di 40 minuti sul fatto di aver impostato correttamente il BCM.
0:16:37 Emily Wearmouth:Sì. E per quanto riguarda l'uso dell'AI all'interno del team? Noti che questo sta cambiando le tue opinioni su come potresti reperire le risorse per il team a lungo termine o su come siano fatti quei modelli, e su come potresti inserire New talenti nel team e su come ciò possa cambiare il modo in cui guardi a quei New talenti?
0:16:55 Seb Leal Bennett:Non vedo l'AI come un sostituto del team. L'AI è lì per potenziare il team affinché sia più efficiente ed efficace, e offre anche un punto di vista opposto, perché a volte le fai una domanda, ti dà una risposta e poi dice e inoltre. E a volte l'e inoltre ti fa pensare: "Oh, aspetta un secondo. Posso andare in una direzione diversa con questo. "Quindi puoi usarla sia per svolgere compiti come scrivere semplici email per te o modificare l'email, sia per far sì che faccia parte dei team o lavori con te e dia un riscontro o persino torni con soluzioni ed essendo più autonoma. Esistono quindi molti livelli diversi con cui è possibile integrare l'AI. Si tratta di ciò con cui ci si sente a proprio agio e di ciò che si desidera fare dopo.
0:17:33 Emily Wearmouth:Io direi che a volte è ciò con cui non ti senti a tuo agio. La settimana scorsa mi sentivo un po' irritabile e ho usato Claude, chiedendogli di smetterla di essere così accondiscendente. Aveva già capito come prendermi un po' di tempo fa e non era andata male, ma la cosa continuava davvero a darmi fastidio. E gli ho chiesto di essere sfacciatamente scortese. E per tutta la settimana scorsa è stato così aggressivamente scortese che ho dovuto cambiare di nuovo impostazione e dire: "No, puoi essere un po' più gentile con me". Grazie mille. "Ma durante quella settimana, suggeriva cose che non credo avrebbe mai proposto prima." Alcuni di essi erano completamente sbagliati. Erano semplicemente polemici tanto per esserlo. Ma a volte, abbassando la barriera di ciò con cui mi sentivo a mio agio e del modo in cui ero disposto a farmi parlare, ci sono stati un paio di aspetti per cui ho pensato: sì, questo non sarebbe successo questa settimana se non gli avessi permesso di dirmi parolacce, per esempio.
0:18:18 Seb Leal Bennett:Assolutamente. Quindi dipende tutto dal prompt e da come vuoi che funzioni insieme a te. Così puoi dire: "Non essere sempre d'accordo con me. Non ho sempre ragione. Il tuo compito come questo particolare bot o agente non è dissentire da me, ma lavorare contro di me, trovando anche aree che non abbiamo esplorato. "E si tratta solo di ricordarsi di fare quelle domande e quei prompt, e a volte può richiedere un po' di tempo. Quindi hai molte persone che chiedono le stesse cose, crei un archivio di prompt, lo copi, lo incolli, lo riutilizzi e così via. Quindi c'è così tanto che possiamo fare in questo ambito e stiamo letteralmente solo scalfendo la superficie.
0:18:50 Emily Wearmouth:State facendo qualcosa di sistematico con il vostro team, in modo informale, magari anche solo per consolidare questa conoscenza all'interno del gruppo? Perché quello che sto riscontrando è che ci sono persone che si sentono a proprio agio e corrono veloci, e quindi vale decisamente la pena mettere in campo alcune strutture per aiutare chi è meno a proprio agio o ha meno tempo per fare esperimenti. Forse hanno impegni tali per cui non possono dedicare quattro ore nel fine settimana all'aggiornamento per fare in modo che il team si muova all'unisono. C'è qualcosa per cui state costruendo?
0:19:16 Seb Leal Bennett:Penso che sia importante condividere. Quindi con il mio team mi incontro magari per due settimane senza chiedere nulla, e ho iniziato a dire: «Bene, chi sta facendo cosa riguardo all'IA? Dimmi cosa c'è di interessante e dimmi cosa hai fatto», insomma una cosa del genere. E non deve riguardare per forza solo l'ambiente lavorativo. Riguiarda anche le case; dove avete avuto successo? Dove avete fallito? E cosa avete imparato? Quindi si tratta semplicemente di parlarne, di capire cosa non sta funzionando. E ovviamente ci sono persone che avranno un po' più di tempo libero o che si prenderanno il tempo per investire in questo e fare un ulteriore passo avanti. E di nuovo, possono tornare e dire: «Ho fatto questo», così tutti potete imparare da ciò. Quindi penso sia davvero importante farlo insieme come team, senza che una o due persone corrano in avanti da sole; penso che questa sia la via da seguire.
0:19:59 Emily Wearmouth:Sì. Volevo parlare di sicurezza, del podcast Security Visionaries. Sarei negligente se non facessi una domanda specifica sulla sicurezza. E so che non fate parte del team di sicurezza, lavorate a fianco dei professionisti della sicurezza, ma in qualità di responsabile dell'architettura, mi chiedo se il team di sicurezza sia presente fin dall'inizio o se lo coinvolgiate, in quale fase del processo tendiate a coinvolgere la sicurezza e se consideriate il vostro approccio basato sulla sicurezza fin dalla progettazione o se forse non lo sia del tutto nel caso in cui lo coinvolgiate un po' più tardi. What
0:20:35 Seb Leal Bennett:Intendi dire inserendoli in un secondo momento? Perché non è che ti trovi da solo a sviluppare un'applicazione e dici: "Ora devo aggiungere l'autenticazione e l'autorizzazione", perché, trattandosi di un'azienda, disponi di standard rigorosi e pattern riutilizzabili nel codice che introducono automaticamente la sicurezza. Penso che quando si introducono OSS o altri prodotti commerciali, la sicurezza sia davvero importante e debba essere presente fin dall'inizio. Quindi devi chiederti: "Come dovremmo integrare questo sistema di autorizzazioni nel sistema della banca? Come facciamo a garantire che vengano applicati i privilegi minimi in modo da non sovradimensionare le risorse per i singoli individui?" Ho visto situazioni in cui le persone hanno omesso qualcosa per errore e non hanno compreso appieno il pattern di integrazione, e di conseguenza sono state concesse autorizzazioni tali da consentire loro di promuovere i propri amici ai privilegi di amministratore. Ovviamente non succede. Non lo fanno intenzionalmente.
0:21:35 Seb Leal Bennett:Se lo sono semplicemente dimenticato. Quindi penso davvero che la sicurezza sia molto importante. Non credo che esista un approccio unificato, ma è davvero importante coinvolgere il team del CISO e assicurarsi che le applicazioni introdotte nella banca siano progettate sin dall'inizio. Altrimenti, si finirà per riscontrare dei problemi. Ma lo abbiamo visto con l'avvento di CloudFirst: persone che lasciavano inavvertitamente il proprio archivio blob aperto all'uso pubblico con all'interno tutte le password o simili. Quindi è davvero importante avere tutto sotto controllo fin dall'inizio, altrimenti si andrà incontro a problemi. E noi abbiamo la situazione sotto controllo. I ragazzi sono fantastici. Sono su tutto. Ed è per questo che, quando usufruisci dei servizi del nostro provider e li rendi disponibili, questi fanno parte del sistema e si assicurano che tutto sia blindato, che non ci siano fughe di dati e via dicendo.
0:22:23 Seb Leal Bennett:E quindi, quando lo usi come ingegnere, hai la certezza di farlo nel modo giusto.
0:22:29 Emily Wearmouth:È interessante perché a volte pongo questa domanda a qualcuno e, proprio come te, reagisce con un po' di incredulità sul modo in cui l'ho posta. E il motivo per cui lo chiedo in questo modo è che a volte faccio la domanda a un professionista della sicurezza e mi risponde: "È così frustrante nella mia organizzazione. Le cose sono già a metà strada prima che venga coinvolta la sicurezza." Quindi succede, ma è fantastico sentire che questa non è la vostra esperienza e che vi muovete all'unisono con la sicurezza lungo il percorso.
0:22:55 Seb Leal Bennett:Sì, dobbiamo farlo. Non c'è margine per commettere errori del genere.
0:23:22 Seb Leal Bennett:Sì, assolutamente. Quindi teniamo sempre d'occhio la situazione e, non appena arriva una New tecnologia, il cloud, tutti ci si buttano. Praticamente è come avere dei bambini in un negozio di caramelle. Ma se non si dispone di misure adeguate per assicurarsi di agire correttamente, allora si finisce per spendere troppo. E noterete che, man mano che le organizzazioni passano al cloud, continuano a gestire il loro stack on-premise e anche quello cloud. Quindi si raddoppiano subito i costi. Perciò bisogna sbarazzarsi dello stack on-premise il prima possibile. Tuttavia, anche quando ci si sposta sul cloud, i costi possono essere elevati se i team non sanno quello che stanno facendo. Quindi, ad esempio, se si pensa di acquisire dello storage on-premise, ci si può chiedere: quanto ne serve? Di quale tipo si ha bisogno? Dove è necessario? E serve un backup? Ci sono circa quattro o cinque domande che ti vengono fatte.
0:24:06 Seb Leal Bennett:Quando inizi a considerare l'archiviazione nel cloud, ci sono circa 15 o 20 domande, come ad esempio quanti IOP di lettura e scrittura continua ti servono? Gli ingegneri storicamente non sono progettati per rispondere a queste domande, quindi ci sbaglieremo. E per questo motivo, effettuiamo un over-provisioning. E poiché effettuiamo un over-provisioning, lo paghiamo. Quindi è necessario disporre di una sorta di governance, forum o meccanismo in cui si esaminano i costi. Dici: abbiamo effettuato un sovradimensionamento (over-provisioning)? Riesci a identificare dove puoi risparmiare denaro? Ad esempio, hai tutto lo storage in hot storage quando in realtà il cold storage andrebbe bene. C'è una grande differenza di prezzo. Potrebbe essere dovuto al fatto che il vostro ambiente non di produzione è attivo ventiquattro ore su ventiquattro. Probabilmente non è necessario che rimanga in funzione la sera o nei fine settimana, quindi spegnilo e riaccendilo quando ti serve. E ci sono così tanti modi diversi in cui puoi considerare il risparmio sui costi.
0:25:54 Seb Leal Bennett:Quindi, di conseguenza, poiché le persone dicono che il cloud non è una questione di costi, ma di efficienza. Be', può rappresentare una questione di costi se si progettano correttamente le applicazioni e ci si comporta nel modo giusto fin dall'inizio nel cloud. E quindi tirare fuori quella lente d'ingrandimento, trovare questi risparmi e condividerli. Non spetta a una sola persona o a un solo team farlo da soli. È necessario disporre di meccanismi in cui, diciamo, in realtà, abbiamo appena risparmiato il 10% del nostro costo annuale. Chi altro può trarne vantaggio? E poi trovare modi per automatizzare questo processo. Quindi, piuttosto che dire di fare questi cinque passaggi, porti i dati alle persone dicendo che pensi ci sia un risparmio del 10%, e poi monitori i progressi rispetto a quello. Puntate a un OKR, imponetelo dall'alto e rimarrete sorpresi perché penso che in media il 30% di tutta la spesa per il cloud sia uno spreco. Wow. Ci stiamo investendo molto.
0:25:42 Seb Leal Bennett:Ogni anno stabiliamo un OKR in tutta la banca, lo monitoriamo, lo perseguiamo, lo esaminiamo e lo condividiamo, e questa è la cosa migliore da fare.
0:25:52 Emily Wearmouth:E pensi che la parte del leone di quel 30% sia un sovradimensionamento o si tratti di servizi che non vengono affatto utilizzati?
0:26:03 Seb Leal Bennett:È un misto di entrambi. Prevalentemente, si tratta di sovradimensionamento. In realtà stavo guardando un po' le statistiche l'altro giorno, perché dal 2023 gestiamo la proprietà, riguardo a quanto abbiamo risparmiato e le abbiamo classificate. La maggior parte era, in realtà diciamo circa un terzo, forse più di un terzo, era nel sovradimensionamento. Ora stiamo iniziando a spegnere le cose. Ci rendiamo conto che anche questo è un fattore piuttosto rilevante. Ma rendi anche la tua applicazione cloud native. Voglio dire, tutti i provider cloud dicono di progettarla bene, di renderla cloud native, di renderla elastica, di fare in modo che si scali da zero a un livello massimo secondo necessità, il che significa che anche nei fine settimana si spegnerà da sola. Semplice. Non spendere dove non hai bisogno di spendere.
0:26:41 Emily Wearmouth:Quando le persone parlano di sovradimensionamento, mi chiedo sempre: avete una narrazione aziendale che tende all'ottimismo. Quindi l'azienda vuole proiettare piani di crescita e intenzione di scalare, ma all'interno dell'azienda bisogna essere in grado di leggere tra le righe e capire quanto di tutto ciò sia millanteria e dichiarazioni di circostanza. E realisticamente, è necessario costruire e predisporre risorse per una crescita aggressiva o si può puntare a un livello intermedio, ma con la scalabilità necessaria per coprirvi nel caso si verifichi lo scenario migliore? Quanto bisogna ascoltare i messaggi che la propria organizzazione diffonde sul mercato e quanto pensate sia necessario ridimensionarli un po' per evitare il sovradimensionamento?
0:27:22 Seb Leal Bennett:La nostra azienda conosce perfettamente il proprio mercato. Sanno dove vogliono crescere. Disponiamo dello storico dei dati, quindi sappiamo dove si trovano i nostri livelli record (high water mark) e possiamo vedere la tendenza generale alla crescita. Sappiamo se un evento di impatto sul mercato creerà un New livello record. Penso che il punto chiave, e non tutti i team in ogni organizzazione sono bravi in questo, siano i vostri SLA o i vostri attributi di qualità. Cosa deve essere in grado di fare quell'applicazione per poterla progettare? Perché è un aspetto piuttosto importante quando si parla anche della progettazione e dei costi. Ad esempio, se hai un sito web, quella pagina deve essere caricata in mezzo secondo o vanno bene anche 30 secondi? Perché la risposta a questa domanda cambierà la tua architettura, e quell'architettura definirà i costi e anche la facilità di scalabilità in alto e in basso?
0:28:09 Seb Leal Bennett:E se non poni queste domande, se non mostri curiosità quando intrattieni tali conversazioni con il business, finirai per sovradimensionare la tua applicazione o per sottodimensionarla. Quindi è necessario affrontare questo discorso per assicurarsi di fare centro e poi procedere di conseguenza. Prendi in considerazione proprio quegli SLA e gli attributi di qualità per il tuo business. Sanno cosa vogliono farne, ma puoi anche opporti. Ma usa i dati, questo è il punto chiave. Non facciamo una conversazione soggettiva: "Beh, io penso che", guardando i dati, possiamo dimostrarlo. Pensiamo di poter arrivare a gestire questa scala nello stato attuale. E se ce ne serve di più, trattandosi di un passaggio al cloud, dovrebbe semplicemente scalare in modo elastico, se possibile.
0:28:50 Emily Wearmouth:Il punto che dicevi sul fatto che questo debba caricarsi in mezzo secondo o possa impiegare 30 secondi? La mia mente è andata subito all'IA agentica e a come questo potrebbe cambiare le cose. Perché se stai costruendo architetture che gli esseri umani devono navigare, sappiamo che la nostra pazienza, forse solo la mia pazienza, è piuttosto limitata e vogliamo che le cose accadano molto, molto rapidamente. Ma se non si tratta più di un processo umano che interagisce con quel percorso architetturale, bensì di un agente, forse puoi accettare una maggiore tolleranza per le aree in cui non è così. Finché il prodotto finale non deve essere super veloce, se non è legato al fattore tempo, l'agente potrebbe avere una maggiore tolleranza per un percorso più lento e si possono fare concessioni maggiori per servizi meno costosi.
0:29:34 Seb Leal Bennett:Potresti farlo, e tutto si riduce all'esperienza utente prevista per quella particolare funzione. Agentica o meno, sarà questo a dettare l'architettura. Ma sì, è un punto interessante.
0:29:45 Emily Wearmouth:Sì. Questo te lo offro io, Seb. Puoi prenderlo. Lo scrivo
0:29:51 Seb Leal Bennett:questo
0:29:51 Emily Wearmouth:giù. Valore aggiunto ogni giorno. Ottimo. Beh, ne sono consapevole, ma vi abbiamo rubato molto tempo e so bene che avete un'altra riunione a cui partecipare. Quindi voglio dire grazie mille, Seb. Questa conversazione mi è piaciuta moltissimo e spero sia stato così anche per i nostri ascoltatori.
0:30:05 Seb Leal Bennett:È fantastico. Grazie per avermi invitato. Mi è piaciuto molto e sarò felice di partecipare anche in futuro.
0:30:09 Emily Wearmouth:Geniale. Avete ascoltato il podcast Security Visionaries e io sono la vostra conduttrice, Emily Wearmouth. Se ti è piaciuto questo episodio, condividilo pure, ma assicurati anche di seguirci sulla tua piattaforma di podcast preferita o su YouTube, così non perderai mai un episodio in futuro. E ci risentiamo la prossima volta.
){kind=icon}
