Blackout Microsoft: il rischio delle imprese dipende da un solo gigante

Venerdì mattina, 13 novembre. Il telefono suona prima ancora che il caffè sia pronto. Dall'altra parte c'è un cliente: la posta non parte, Teams non si apre, i file condivisi non si trovano. Poi ne chiama un altro, e un altro ancora. In questi giorni tutti i miei clienti che lavorano con Office 365 sono fermi, chi più chi meno, con problemi di ogni genere.

Il disservizio era iniziato la sera prima, giovedì 12, intorno alle 18 ora italiana. Nel giro di un'ora, secondo Downdetector, si era esteso a 74 Paesi. Outlook, Teams, Copilot: fuori uso, o quasi, per milioni di persone. Ci sono finiti dentro aziende, governi, pubbliche amministrazioni, banche, e perfino qualche disagio sui voli. Dopo sedici ore, il ripristino era ancora parziale.

E che ci importa? È successo a tutti, quindi non è colpa di nessuno. Sbagliato, o almeno non del tutto. Vi chiedo di tenere a mente questa obiezione, perché ci torneremo.

Si dice che l'elefante abbia paura del topolino. Non so se sia vero (gli zoologi hanno parecchi dubbi), ma l'immagine mi piace, perché rovescia il buon senso: il bestione enorme, che non teme niente, in apparenza indistruttibile, e il piccolo animale che gli gira intorno senza che nessuno lo prenda sul serio. Nel mondo dell'informatica l'elefante lo conosciamo tutti. È Microsoft, ma potrebbe essere Amazon o Google. I topolini sono le tante aziende che offrono servizi gestiti (gli MSP, come si dice nel mestiere), i fornitori locali di posta, i piccoli data center di provincia, le software house con i loro prodotti. Imperfetti, certo. A volte lenti, a volte con un sito che sembra fermo al 2010.

Negli anni Settanta, per chi doveva comprare computer, girava un detto: «nessuno è mai stato licenziato per aver comprato IBM». Oggi al posto di IBM mettiamo Microsoft e la frase funziona ancora. Scegliere l'elefante è una decisione che non si deve giustificare con nessuno. Se cade, cade per tutti, e il responsabile IT di turno potrà dire al suo capo: «guarda, è giù in tutto il mondo». È il rischio "in compagnia", quello che fa meno paura perché è condiviso. Peccato che un rischio condiviso resti grande uguale. Semplicemente, quando arriva, arriva a tutti nello stesso momento.

Qui mi permetto una divagazione, che sembra non centrare nulla.

Nel 1845 in Irlanda arrivò un parassita della patata, la Phytophthora infestans. Gran parte dei contadini coltivava una sola varietà, la Lumper, perché rendeva tanto e cresceva anche su terreni poveri. Era la scelta più "razionale". Ma un campo di patate tutte uguali ha un difetto: se il parassita riesce ad attaccarne una, le attacca tutte. In pochi anni la Grande Carestia uccise circa un milione di persone e ne costrinse a emigrare almeno altrettante. La patata, di per sé, era ottima. A uccidere fu la monocoltura.

Torniamo a Redmond. Una delle cose che si sono capite fin dalle prime ore è che non si trattava di un attacco hacker. Microsoft ha parlato di un sovraccarico della propria infrastruttura. Nessun topolino ha morso l'elefante. L'elefante è inciampato da solo, sotto il proprio peso. E questo, per me, cambia il senso di tutta la vicenda. Possiamo spendere quanto vogliamo in firewall, antivirus, formazione, igiene informatica (e dobbiamo farlo, lo ripeto in ogni articolo), ma se tutta la nostra realtà poggia su una gamba sola, quando quella gamba cede cadiamo anche noi. Senza che abbiamo sbagliato niente.

Il topolino invece sbaglia, eccome. Ma sbaglia da solo. Se il piccolo fornitore di posta di Biella ha un problema, si ferma la sua cinquantina di clienti, non mezzo pianeta. Il rischio non sparisce, si spezzetta. In gergo si chiama segmentazione, ed è la stessa logica con cui separiamo una rete in zone, perché un'infezione in un reparto non arrivi a tutta l'azienda. Nassim Taleb, nel suo «Antifragile», sostiene che i sistemi fatti di tante parti piccole e indipendenti reggono meglio gli shock di quelli grandi e accentrati. E già nel 1973 l'economista Ernst Friedrich Schumacher aveva intitolato un libro «Piccolo è bello». Io non arrivo a dire che piccolo sia sempre bello. Dico che piccolo è, a prescindere, meno contagioso.

C'è poi un aspetto che va oltre l'ufficio di chi resta senza posta per un giorno. Secondo Synergy Research Group, Amazon, Microsoft e Google controllano insieme circa il 70% del mercato cloud europeo, mentre ai fornitori europei resta più o meno il 15%. L'Osservatorio Cloud del Politecnico di Milano calcola che il 78% di quanto spendono le imprese italiane in servizi IaaS e PaaS finisce ai grandi operatori americani. Le simpatie qui c'entrano poco, c'entra la sovranità. Dal 2018, con il CLOUD Act, le autorità statunitensi possono chiedere a un fornitore americano i dati che custodisce, anche se i server stanno in Europa. Questa volta il blackout è nato da un guasto tecnico. Ma l'interruttore, comunque, sta dall'altra parte dell'oceano, e la mano che lo tocca non è la nostra.

«Sì, ma il topolino spesso vive sulla schiena dell'elefante!» È vero, e lo so bene. Molti piccoli fornitori rivendono proprio Microsoft 365, o tengono le loro macchine su Azure. In quel caso il rischio non lo abbiamo segmentato, lo abbiamo solo nascosto sotto un logo diverso. E poi ogni fornitore in più è una porta in più da sorvegliare (ne avevo parlato a maggio, a proposito della supply chain). Detto questo, la conclusione per me non cambia. I topolini vanno scelti guardando dove poggiano i piedi, tutto qui.

Ed ecco il dato che rende tutto questo un problema molto italiano. Da oltre un decennio i rapporti dell'Istat lo confermano: circa il 95% delle nostre imprese ha meno di dieci addetti. Una microimpresa non ha un reparto IT, non ha un piano B, spesso non ha neanche qualcuno che sappia cosa sia un piano B. Il giorno in cui l'elefante cade, la grande azienda attiva le sue procedure di continuità. Il piccolo artigiano aspetta, e intanto non fattura.

C'è anche una storia che noi biellesi conosciamo bene. Il distretto tessile è sempre stato, ed è ancora, una rete di filature, tessiture, tintorie, finissaggi, ognuno con i suoi difetti e le sue manie, senza un unico colosso a reggere tutto. Quando una ditta chiudeva o si fermava, il distretto andava avanti. È la versione industriale del bosco misto contro il campo di patate.

Cosa possiamo fare, allora, già da lunedì? La prima cosa è chiederci che cosa smetterebbe di funzionare nella nostra azienda se domani Microsoft 365 si fermasse per un giorno intero, e scriverlo sul serio, anche su un foglio di carta. Poi viene la posta, che per quasi tutti è il primo canale con clienti e fornitori: un indirizzo di riserva su un altro provider, magari europeo, che anche i clienti conoscono, costa poco e può salvare una giornata.

Lo stesso vale per i documenti critici (listini, contratti, procedure, contatti), che dovrebbero esistere anche in una copia che non dipende dallo stesso cloud. Il vecchio 3-2-1 del backup vale anche qui. Al nostro fornitore, il "topolino", conviene chiedere apertamente su cosa poggia: se risponde che sta tutto su Azure, almeno lo sappiamo. E il piano di continuità operativa va riletto per capire se prevede il guasto del fornitore o soltanto l'attacco informatico, visto che la NIS2, per chi ci rientra, lo chiede esplicitamente.

Certo, tre fornitori diversi per tre servizi diversi sono più complicati da gestire di uno solo. È il prezzo, e secondo me conviene pagarlo.

Nella favola di Esopo il leone, catturato da una rete, viene liberato da un topolino che rosicchia le corde. Il leone lo aveva risparmiato qualche giorno prima, ridendo all'idea che una bestiola così piccola potesse mai essergli utile.

Non so se l'elefante abbia davvero paura del topolino. So che in questi due giorni, a molti dei miei clienti, un topolino imperfetto avrebbe fatto molto comodo.